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1 Ein uraltes Thema 


Wissensmanagement gibt es seit 100.000en von 
Jahren: 


Wissensmanagement basierte zunächst auf 
mündlicher Überlieferung 
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il- Ein uraltes Thema 


Durch die Erfindung der Schrift vor 5.000 Jahren 
wurde es möglich, Informationen und 
Vereinbarungen zu überliefern: 


Das Dokument war geboren 


Dokumenten- 
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PROJECT CONSULT 


1 Ein uraltes Thema 


Die Verwaltung der Dokumente, 

modern Dokumentenmanagement genannt, 
entstand ebenfalls bereits vor 5.000 Jahren in den 
frühen Kulturen 
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=||- Ein altes Thema 


Elektronisches Dokumentenmanagement existiert 
seit ca. 25 Jahren. 


Durch die elektronische Informationsverarbeitung 
wird der Dokumentbegriff neu definiert: 


Ein Dokument ist nur noch ein flüchtiges, virtuelles 
Datenobjekt 
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Das herkömmliche Dokument 


wichtig 

unterschrieben 

auf Papier 

nahe am Urkundenbegriff 
greifbar und taktil erfahrbar 

ohne Hilfsmittel lesbar 

auf dem Schreibtisch verstreubar 


das war doch da oben in dem Ordner links, mit dem 
blauen Rand 


beweisfähig 
eine Willensbekundung 
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=||- Die frühen Anfänge 


Datenverarbeitung basierte auf Daten und kennt den 
Dokumentenbegriff nicht 
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=||- Das elektronische Dokument 


e Der Begriff Dokument wird für elektronische 
Dokumente aus unterschiedlichsten Quellen, die in 
einem DV-System als Datei, Bestandteil einer Datei 
oder Objekt vorliegen, verwendet 
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Papier ist längst nicht mehr das 
Hauptproblem — 


immer mehr Dokumente entstehen digital 
und sind nicht mehr für eine physische 
Repräsentation geeignet 
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Immer mehr Dokumente entstehen digital 
und sind nicht mehr für eine physische 
Repräsentation geeignet 
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Der neue Dokumenten-Begriff 


Ein Dokument kann heute alles sein 
gescannte Faksimiles 
E-Mails mit Attachement 
Office-Dateien 
Host-Output 
Web-E-Business-Formulare 
Transaktionen 
dynamische HTML-Seiten 
digitale Video- und Ton-Aufzeichnungen 
dreidimensionale Vektorgebilde 
Ben Lösungen Datensätze mit zugewiesener Struktur 
ner een elektronisch signierte Dateien 
Sr ne 1 Container mit beliebigen digitalen Komponenten 
etc. etc. etc. etc. etc. etc. etc. etc. etc. etc. etc. etc. ... 
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Das elektronische Dokument 
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Das elektronische Dokument 
Gleichstellung 


Dokumente werden vermehrt elektronisch erstellt 
und sind nicht mehr für eine Präsentation in 
Papierform ausgelegt 

« Dynamische Dokumente 

« Elektronisch signierte Dokumente 

e Automatisch erzeugte Massendrucke 

« Datensätze, die durch beschreibende Meta-Daten und 

Formatinformationen erst zum Dokument werden 
Die rechtliche Gleichstellung von Papier — und 
elektronischen Dokumenten ist eine der wichtigsten 
Bene Voraussetzungen für das Informationszeitalter 


PROJECT CONSULT 
t beratung 
mbH 


=||- Ein aktuelles Thema 


Elektronische Dokumente erhalten ein neue 
Qualität: 


Elektronisch signierte Dokumente erhalten die 
gleiche rechtliche Qualität wie herkömmliche 
Papierdokumente 


Dokumenten- 
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Wege aus der babylonischen 
Sprachverwirrung 
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Babylonische Sprachverwirrung 


Intranet tent Management 
DRT Documen Repository 


' EDM 
CESE 5 


Asset Management 
DIVE) 


Business Process Management | F-Rısinass 
Enterprise Application UDM 


Integration 
EEEN Knowledge Management ‚uılaborative Commerce 
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Die Hybris des Marktes 


Jedes Jahr neue Schlagworte und sogenannte 
Trends: 


e ständig neue Begriffe verunsichern die Anwender, 
verringern das Investitionsinteresse und lassen das 
Bild der Branche verschwimmen 


die Anbieter sind nicht in der Lage, ständig neue 
Produkte zu kreieren, 
Umetikettierung überwiegt 


der Spagat, immer das Neueste zu bieten und 
gleichzeitig Jahrzehnte Informationsverfügbarkeit 
zu garantieren, meistern nur wenige 


Was ist der Unterschied? 
Document Management (DM) 


DM 
Archival 
Groupw are 
Workflow 
Document Management 
Intranet 
Scanning 
Auto-Categorization 
Retrieval 
Document Warehouse 
Records Management 
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=| = Was ist der Unterschied? 
Knowledge Management (KM) 


KM 
Collaboration 
Groupw are 
Workflow 
Document Management 
Intranet 
Capture 
Auto-Categorization 
Intelligent Retrieval 
Data Mining 

urn Personalisation 


aktuelle Trends 
PROJECT CONSULT Portal 


Unternehmensberatung 
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| = Was ist der Unterschied? 
Enterprise Content Management (ECM) 


ECM 

Federated Repository 

Collaboration 

eProcess 

Content Management 

Intranet 

Capture 

Auto-Categorization 

Search Engines 

Document Warehouse 
engen Web-Content-Management 


aktuelle Trends 
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Was ist der Unterschied? 
DM, KM & ECM 


KM ECM 
Collaboration Federated Repository 


Document Warehouse Data Mining Document Warehouse 
Technologien: Lösungen, Records Management Personalisation Web-Content-Management 


aktuelle Trends 


en ea Portal 
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DRT 
Document Related Technologies 


Internet, Intranet & Extranet 
Document, Workflow & Knowledge Management 
eCommerce & Electronic Signature 
Document Input, Distribution & Storage 
OCR, ICR & Pattern Recognition 
Datenbases, DataWarehouses & Retrieval 
Imaging & Multimedia 
Archival & Records Management 
Secure Communication & Unified Messaging 
Groupware & Office Automation Solutions 
De Forms & Output Management 
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DRT 
Document Related Technologies 


DRT sind 


a) Systeme, die auf die Verarbeitung 
un- oder schwachstrukturierter 
Information („Dokumente“) spezialisiert 
sind 
b) Dokumentenorientierte Funktionen, 
die in beliebige Anwendungen und 
nn IT-Infrastrukturen integriert werden 


PROJECT CONSULT TUOuTeWz 
Unternehmensberatung 
Dr. Ulrich GmbH 


DonNenNntW 


Content Management, Syndication & Distribution 


Entwicklung im ECM-Markt 
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Definition 


The technologies used to capture, 


Enterprise Content Management 


manage, store, deliver, and preserve 


information to support business 


processes. 


AIIM International, 2003 
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ECM Basisideen 
Integrative Middleware 


E-Business 
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=||- ECM Basisideen 
Dienstekonzept 


E-Business 
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=||- ECM Basisideen 
Einheitlicher Speicherort 


E-Business 
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| = AIIM Modell für ECM 
Enterprise Content Management 


MANAGE 


Collab 


CAPTURE DELIVER 
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Die fünf Komponenten von ECM 


Capture 
(Scannen, COLD, OCR, ICR, Klassifikation etc.) 


Manage 

(Business Process Management, Collaboration, Records 
Management, Document Management, Web Content 
Management) 

Store 

(Speicherverwaltungssysteme, Speicherarchitekturen, 
Speichermedien) 


Preserve 
(Langzeitarchivierung, Schnittstellen, Formate, 
Speichermedien, Migration) 

PROJECT CONSULT ° Deliver 


Bien nein (Output Management, Sicherheit, Multi-Channel-Distribution, 
Kryptographie, Signaturen etc.) 
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CAPTURE 





Human created 
« Office Documents 
« Form 
« Rich Media 


« Microfilm 


Recogniton 
« OCR 
« HCR 
« ICR 
« OMR 


« Barcode 





Application created 
« ERP 
° XML 


« Finacial Applications 





« E-Billing 


Forms Processing 


E-Forms/Web-Forms 





Aggregation 








COLD/ERM 





Mm mm — 


MANAGE 


Input 


Collab 








Indexing 


Input Designs 


Categorization 
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=||- Document Management 


Collab 





Document 
Management 








e Checkin/Checkout 

« Versionsmanagement 
« Suchen und Navigieren 
e Visualisierung 
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=||- Collaboration 





Collaboration 








Collab 





« Gemeinsames Editieren 
« Wissensbasen 

« Whiteboards 

« V/ideoconferencing 


« Informationszusammen- 
führung 


WCM 
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=||- Web Content Management 


Collab 





Web Content 
Management 











WCM 


« Editieren und Gestalten 
e Publikationsprozess 

« Konvertierung 

e Sicherheit 

e Visualisierung 
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Records Management 


Collab 


« Ablagesystematik 


« Indizierung und 
Thesaurus 


« Aufbewahrungsfristen 
e Meta-Daten 
« Archiverwaltung 





Records 
Management 
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Workflow / 
Business Process Management 


« Ablauf- und Aufbauorganisation 
Prozessdesign 
Vorgangsbildung 
Routen 
Mitzeichnung 


Paralleles und 
sequentielles Bearbeiten 


Wiedervorlage, Fristen 
Kontrolle 
Protokollierung 


Workflow / 
Business Process 
Management 
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1" STORE 


Repositories 
File Systems 
Content Management Systems 
Databases 
Data Warehouses 





Library Services 
Search/Retrieval 
Version Control 
Check In/Check Out 
Audit Trail 





Technologies 
« SAN « Tape 
« NAS e Magnetic Storage 
Dokumenten: « Magneto Optical e RAID 


Technologien: Lösungen, 


aktuelle Trends « DVD . Optical Disc 
PROJECT CONSULT « CD-ROM 


Unternehmensberatung 
Dr. Ulrich Kampfimeyer GmbH 
Breitenfelder Straße 17 
20251 Hamburg 
www.project-consult.com 
© PROJECT CONSULT 2005 
40 





© PROJECT CONSULT 2005 
20 


— i Dokumenten-Technologien: Lösungen, aktuelle Trends 
n n PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


=||- PRESERVE 





Archive 
Paper 
Mikrofilm 
NAS/SAN 
CAS 
WORM 
WORM-TAPE 
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=||- DELIVER 








Security as ECM Infrastructure 

Transformation Security Ditribution 
Technologies 
Layout/Design |» COLD/ERM « PKI « Internet, Intranet, Extranet 





« Personalization « E-Business-Portale 


* XML « Digital Rights « Email und Fax 
Management! 


o br Watermark 


« Datenübermittlung mittels 
EDI, XML u. anderer Formate 
+ Compression 


« Syndication « CD/DVD 


Publishing « Konverter « Digital Signature | + Digitales Fernsehen 














Dokumenten- Viewer Papier 
Technologien: Lösungen, 
aktuelle Trends 
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Trends aus Anwendersicht 


Dokumenten- 
Technologien: Lösungen, 
aktuelle Trends 


PROJECT CONSULT 
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1" Trends aus Anwendersicht (1) 


Rechtssichere Archivierung 

Die Diskussion um die GDPdU hat nunmehr — mit fast zwei 
Jahren Verspätung — auch die Anwenderunternehmen 
erreicht. Da schon die letzten zwei Jahrgänge digital 
aufbereitet für Prüfungen bereitstehen müssen, erhöht sich 
der Druck. 


Virtuelle elektronische Akten 

Als eigenständige Anwendung oder in Verbindung mit CRM- 
Lösungen sollen alle Dokumente und Informationen eines 
Kunden oder Vorganges zusammenhängeng, strukturiert, 
übersicht und beliebig konfigurierbar dargeboten werden. 


Unternehmensberatung 
Kampffmeyer GmbH 
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Trends aus Anwendersicht (2) 


Die universelle Inbox 

Nicht mehr an verschiedenen Stellen suchen müssen, 
sondern alle Eingangsinformationen aus den 
unterschiedlichsten Quellen und in beliebigen Formaten in 
einem einheitlichen Posteingangskorb zusammenführen und 
in einen Workflow einspeisen. 


Entlastung für E-Mail und ERP 

Weiterhin ein großes Desiderat ist die Entlastung von 
überquellenden Bürokommunikationsprogrammen und immer 
größer und komplexer werdenden ERP-Systemen. 


Trends aus Anwendersicht (3) 


e Personal und Kosten sparen durch 


Prozessunterstützung 

Wieder im Kommen sind BPR-, BPM- und Workflow-Themen. 
Bestehende Organisationen sind häufig bereits 
durchoptimiert, so dass weitere Verbesserungspotentiale nur 
durch Prozesssoftware erreicht werden können. 


Erschließung und Wiedernutzung 


vorhandener Inhalte 

Das Aufräumen vorhandener Datengräber zur Verbesserung 
der Informationsqualität, die Vermeidung redundanter 
Aufbereitung von Content und die Erschließung von 
Informationen als Wissen gewinnen an Bedeutung und lassen 
selbst das fast verschwundene Schlagwort 
Wissensmanagement wieder aufleben. 
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Trends aus Anwendersicht (4) 


Effiziente Posteingangsverarbeitung 

Systeme zur weitgehenden automatischen Erfassung von 
Schriftgut, Verarbeitung von Eingangsrechnungen und 
gesteuerten Weiterleitung werden inzwischen als wichtiges 
Effizienz- und Automatisierungspotential erkannt. Auch wenn 
mancher gleich von Rechnungen auf Papier abrückt und auf 
einen vollständigen elektronischen Informationsaustausch 
setzt. 


Elektronische Signatur 

Zumindest bei Projekten in der öffentlichen Verwaltung 
gewinnt die elektronische Signatur an Fahrt und die ersten 
großen Vorhaben mit Einsatz der „Massensignatur“ beim 
Scannen bahnen sich an. 


Trends aus Anwendersicht (5) 


Ablösung von Inseln und proprietären 
Systemen 

Die Integration in die vorhandene IT-Landschaft, die 
Einbettung von Dokumenten-Technologien in vorhandene 
Anwendungen und die Abkehr von älteren Insellösungen 
lassen das Thema Migration zum Dauerbrenner werden. 


Bereinigung der IT-Infrastruktur 

Server-, Netzwerk- und Anwendungsarchitektur- 
konsolidierungen beschäftigen alle IT-Manager in großen 
Unternehmen. Im Rahmen dieser Maßnahmen wird auch über 
Information Lifecycle Management mit Vereinheitlichung der 
Speichersysteme, Archive und Datenbanken nachgedacht. 
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=|= Gründe für DMS-Projektabbruch 





% der Befragten nannten als Gruna | 


Keinen geeigneten Anbieter gefunden 





Funktionen haben nicht gepasst 

Interner Einführungsaufwand zu hoch 

Interner Planungsaufwand zu hoch 

Zweifel an technischer Umsetzbarkeit 
Dargestellter Nutzen nicht glaubwürdig 

Kein ausreichender Nutzen für unser Unternehmen 
Know How Mangel 


zu lange Einführungsdauer 

















Kosten zu hoch 
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=ll= Nutzenerwartung bei Unternehmen ohne 
ein DMS System 





Prozent der Personen erwarten vom DS-Einsatz] 
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‚ortsunabhängige Information 
Wettbewerbsfähigkeit verbessern 
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Informationsstand verbessem 
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Mit dem DMS Begriff assoziierte 
Anwendungsfelder 





% der Befragten verbinden mit DMS die Anwendnung -| 


Content Management 





Wissensmanagement 


Informationsbereitstellung 
im Unternehmen 


Prozesssteuerung 
(Workflow ) 


Versionsmanagement für 
Dokumenterstellung, 
—-pflege 


Dokumenten- Archivierung von 
Technologien: Lösungen, 
aktuelle Trends Unterlagen 




















PROJECT CONSULT 
Unternehmensberatung 
Dr. Ulrich Kampfimeyer GmbH 
Breitenfelder Straße 17 
20251 Hamburg 
www.project-consult.com 


© proJEcTeonsuLT 2005 Quelle: VOI-DMS Marktstudie 


51 


Deutschland im internationalen Vergleich — 
Gründe für Investitionen in ECM 





Wichtigster Grund für Investition in ECM Technologien (in %) 





(Quelle: AIIM Oktober 2003) USA | IRE | BRA D 





Effizienzsteigerung 





Risk Management 





Schnellere Reaktionsfähigkeit 





Verbesserter Kundenservice 





Compliance 
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=||- Anwenderschwerpunkte 


Geplante Projekte (in %) 





(Quelle: AIIM 2003) USA IRE BRA 





Process automation 22 27 45 





Technical Document 
Management 22 21 42 


eMail-Management 22 28 30 
Web-Publishing 24 31 31 
Knowledge Management 25 29 41 
Information Capture 27 30 33 
Document Contral 34 40 57 


Archiving / Storage / Records 
Management 44 34 53 


Compliance 20 


























Forms Processing 18 





Business Continuity 





Customer Service 
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Accounting 
































1 Investitionsplanung 





Geplante Investitionen 2004 / 2005 (US $) 





(Quelle: AIIM 2003) USA | IRE | BRA 





<$100.000 41 35 51 





$100.000 - $200.000 17 15 21 





$200.000 - $500.000 19 15 11 





$500.000 - $1.000.000 12 
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Br |>$1.000.000 11 
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PROJECT CONSULT 
Unternehmensberatung 
Dr. Ui GmbH 





Trends aus Anwendersicht 


Rechtssichere Archivierung 
Virtuelle elektronische Akten 

Die universelle Inbox 

Entlastung für E-Mail und ERP 
Personal und Kosten sparen durch 
Prozessunterstützung 
Erschließung und Wiedernutzung 
vorhandener Inhalte 

Effiziente Posteingangsverarbeitung 
Elektronische Signatur 


Ablösung von Inseln und proprietären 
Systemen 


Bereinigung der IT-Infrastruktur 


Marktanalysen 
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=[I= Nutzenerwartung bei Unternehmen ohne 
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Prozent der Personen erwarten vom Dms-Einsatz] 


erhöhte Sicherheit vor Informationsverlust M os 


ortsunabhängige Information 





Wettbewerbsfähigkeit verbessern 
Prozesse beschleunigen 
‚Auskunftsfähigkeit beschleunigen 
Informationsstand verbessem 
Platz sparen 

Zeit sparen 


Kosten senken | 22.4 
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=|]= Gründe für DMS-Projektabbruch 
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Deutschland im internationalen Vergleich — 
Gründe für Investitionen in ECM 





Wichtigster Grund für Investition in ECM Technologien (in %) 





(Quelle: AIIM Oktober 2003) USA | IRE | BRA D 
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Risk Management 
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Verbesserter Kundenservice 





Compliance 





Dokumenten- Kostenreduzierung 


Technologien: Lösungen, 
aktuelle Trends 


PROJECT CONSULT Verbesserung der . 
Unternehmensberatung | Wettbewerbsfähigkeit 
Dr. Urich Kampfmeyer GmbH 

Breitenfelder Straße 17 = . 
20251 Hamburg Höhere Gewinne, 


www.project-consult.com 


© prosecrconsuit 205, | Bessere Performance 
59 



































Anwenderschwerpunkte 





Geplante Projekte in 2004 und 2005 (in %) 





(Quelle: AIIM 2003) USA 





Prozessautomation/Workflow 22 





Technisches Dokumenten- 
management 22 





E-Mail-Management 22 
Web-Publishing 24 


Knowledge Management 25 











Information Capture 27 





Dokumentenkontrolle 34 





Archivierung / Records 
Management 44 





Compliance 20 





Formularverarbeitung 18 





Business Continuity 
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Trends aus Marktsicht 
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Trends aus Marktsicht 
Allgemeine Markterscheinungen 


e Marktkonsolidierung 
e Konvergenz 
e Keine geschlossene DMS-Branche mehr 
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= Lösungsanbieter im Wettbewerb 





Collaboration 





IBM, Microsoft, Oracle 


ee 














Traditionelle ECM-Anbieter 
EMC/Documentum, Opentext, Hummingbird, 
FileNet, Banctec, etc. 
Saperion, d.velop, EASY, Ceyoniq, 
ELO, Docuware, etc. 


ERP-Workflow/ 
Records Manag. 
SAP, Oracle, Sage 
yooıy 'UOUeD 'x0JaX 
SIeMPIeH 
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=||- Traditionelle ECM-Anbieter 


Internationale Anbieter: 
« EMC/Documentum, Opentext, Hummingbird, 
FileNet, Banctec, etc. 


Deutscher Mittelsstand: 
« Saperion, d.velop, EASY, Ceyoniq, ELO, 
Docuware, etc. 
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=||- Lösungsanbieter im Wettbewerb 








Traditionelle ECM-Anbieter 
EMC/Documentum, Opentext, Hummingbird, 
FileNet, Banctec, etc. 
Saperion, d.velop, EASY, Ceyoniq, 
ELO, Docuware, etc. 


yooıy 'uoueg 'xolaX 
SIeMPJeH 


ERP-Workflow/ 
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SAP, Oracle, Sage 
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Collaboration 


IBM 
Microsoft 
e Oracle 
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=||- Outputmanagement 


e Betasystems 
e ISIS 
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Database 


Oracle 
IBM 
Microsoft 
Verity 
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ILM 
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Trends aus Marketingsicht 


ECM Enterprise Content Management 
RM Records Management 

DAM Digital Asset Management 

ILM Information Lifecycle Management 
Capture 

Compliance 
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=||- Definition Suiten (1) 


Kompatibilität aller Komponenten mit allen anderen 
Komponenten 


Modular und komponentenweise erweiterbar 


Nutzung gemeinsamer Administrations- 
komponenten und Ressourcen in Bereichen wie 
Berechtigungen, Sicherheit, Zugriff, Klassen, 
Metadaten, Speicherorte, Kommunikation etc. 


Einheitliche Nutzung aller Informationen durch alle 
Komponenten der Suite Plattform-Konformität, d.h. 
alle Komponenten sind auf allen Plattformen der 
Gesamtsuite lauffähig 


Einheitliche Clienten, die die Nutzung des 
ung Gesamtportfolios der Suite möglich machen 


aktuelle Trends 


PROJECT CONSULT 
Unternehmensberatung 
Dr. Ulrich GmbH 


Defintion Suiten (2) 


Ausrichtung der einzelnen Komponenten auf die 
Rolle als Bestandteil der Suite, wobei sich die 
Komponenten als Dienste innerhalb einer 
gemeinsamen Architektur positionieren 


Gemeinsamer Weiterentwicklungsplan, der die 
Kompatibilität der Einzelkomponenten als auch der 
Suite selbst sicherstellt 


Vollständigkeit der Suite, d.h. möglichst Abdeckung 
aller Komponenten die üblicherweise zum 
Funktionsumfang gerechnet werden 


Einhaltung von Standards, um Komponenten von 
Dritten ebenso konform einbinden zu können wie 
die eigenen Komponenten der Suite 


Gemeinsames, konsistentes Vertriebs und 
Marketing Konzept für die Suite und alle ihre 
enthaltenen Komponenten einschließlich 
entsprechender Preismodelle für Suite und 
Komponenten 
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Was ist eine ECM-Suite? 


Anspruch an eine Suite: Eine Suite ist die 
Zusammenstellung verschiedener kompatibler 
Komponenten zur Lösung eines Gesamtszenarios, 
bei dem die Komponenten auch einzeln und 
unabhängig eingesetzt werden können 


ECM beinhaltet fünf große Komponenten Capture, 
Manage, Deliver, Store und Preservation wobei 
sich Manage in die Teilkomponenten Collaboration, 
Records Management, Workflow/Business Process 
Management, Document Management und Web 
Content Management 


ECM insgesamt ist eine Strategie oder Vision, kein 
einzelnes Produkt 


Records Management 


Records Management oder Electronic Records Management 
bezieht sich auf die Strukturierungs-, Verwaltungs- und 
Organisationskomponente zur Handhabung von 
Aufzeichnungen 


ERM ist nicht mit elektronischer Archivierung deutscher 
Prägung gleichzusetzen, obwohl viele Ansätze sich hier 
wiederfinden 


ERM ist auch eine wichtige Komponente von ECM. 

Der Begriff findet inzwischen auch weitere Verbreitung in 
Deutschland und wird durch zahlreiche internationale 
Standards gestützt 
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Digital Asset Management 


DAM Digital Asset Management, oder MAM Media Asset 
Management, oder RMM Rich Media Management, oder ... 


Vielfältigste Akronyme leiten bereits heute die nächste Welle 
der Entwicklung ein, die sich versucht von CM Content 
Management, WCM Web Content Management und ECM 
Enterprise Content Management abzuheben 


Noch bewegen sich die Anbieter nur im Randbereich von DRT 
und sind im traditionellen Marktsegment noch nicht richtig 
sichtbar geworden 
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ILM als neue Strategie 
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ILM Information Lifecycle Management 


Neues „Schlagwort“ der Anbieter von Speicher-Technologien 
(Storage) 

Ergänzung von Speichersubsystemen mit Software zur 
Verwaltung des Lebenszyklus von Daten 


Hinterlegte „Policies“ (Regeln) steuern die Speicherung, 
Speicherorte und Aussonderung von Informationen 


Weiterentwicklung des HSM hierarchischen 
Speichermanagements in Richtung elektronische 
Archivierung, Dokumentenmanagement und Enterprise 
Content Management 


Betriebssystemnahe Infrastruktur 
ren . benutzt, stellt 


aktuelle Trends 


OET OEL sich aber auch als Store- und Preserve-Komponente 
se innerhalb von ECM dar 
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Capture 


Unter der diesem Obergriff versammeln sich die Anbieter von 
Erfassungs-, OCR/ICR- und Klassifikationslösungen 


Dieser Unterbereich von ECM hat inzwischen ein 
eigenständiges Profil gewonnen, obwohl die Komponenten 
meistens nur als Subsysteme anderer DRT-Lösungen zum 
Einsatz kommen 


Rechungseingang 
automatische Klassifikation der 2. Generation 
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=||- Compliance 


Die Übereinstimmung mit und die Erfüllung von 
rechtlichen und regulativen Vorgaben. 


Dokumenten- 
Technologien: Lösungen, 

aktuelle Trends 
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1" Rechtliche Anforderungen 


Sarbanes-Oxley 

GDPdU 
Verrechnungspreisdokumentation 
GoBS 

BASEL II 

FDA 

Kontrag 

Elektronische Rechnung 

HIPAA 
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Trends aus Technologiesicht 
und Produktentwicklungssicht 
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=||- Architekturen und Standards 


e Dienste-Konzept 
e Standards 
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=||- Plattformen 


e Linux 
« Browser-basierte Clienten 
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Dokumenten- 
Technologien: Lösungen, 
aktuelle Trends 
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Produktentwicklungen 


Branchenlösungen 
E-Mail-Archivierung 

Records Management 
Workflow 

Farbscannen 
Rechnungseingangserfassung 
Automatische Klassifikation 
Portallösungen 

ECM Suiten 
Administrationstools 
„Intelligente“ Speichersysteme 
Output-Management 


Konvergenzen der Technologien 
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I" Konvergenz der Technologien 


Die Branche verliert ihr eigenständiges Profil 


e Aufweichen der Abgrenzung zu anderen Gebieten der 
Informationstechnologie 


e Verschwinden der Alleinstellungsmerkmale 
Immer mehr Funktionen für wen? 


Das Marktwachstum verteilt sich auf zu viele 
Anbieter und wird zunehmend von angrenzenden 
IT-Segmenten vereinnahmt 
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Ausblick 
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=||- Der Wert von Information 


Information hat nur dann einen 
inhärenten Wert, wenn man die 
Information als Wissen auch in 
Prozessen nutzbar macht 
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=||- Die Abhängigkeit von Information 


Die Abhängigkeit von der Verfügbarkeit 
und der Richtigkeit von elektronischer 
Information wächst ständig 
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=||- Information Overflow 


Wir leiden an einer Informationsüber- 
flutung und müssen die werthaltige, 
wichtige Information mühsam suchen 


Dokumenten- 
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aktuelle Trends 
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Die Bedeutung von DRT 


„Wir ertrinken in Information 
und dürsten nach Wissen. “ 
John Naisbitt, Megatrends 2000 
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=||- Information Gap 


Die ersten Lücken in der elektronischen 
Überlieferung treten auf: 
Elektronisches Wissen ist bereits 
unwiederbringlich verloren gegangen 
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Information Divide 


Information steht nicht jedem 
gleichermaßen zur Verfügung 
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=||- Die gesellschaftliche Bedeutung von 
Information 


„Elektronische Archive sind das Gedächtnis 
der Informationsgesellschaft. “ 


Erkki Liikanen, EU-Kommissar, 1999 


Dokumenten- 
Technologien: Lösungen, 
aktuelle Trends 
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=||- Die Vision vom papierlosen Büro 


„Das papierlose Büro wird es genauso 
wenig geben wie das papierlose Klo“ 


von Pierer zugeschrieben 


das „papierreiche Büro“ 
das „papierarme Büro“ 
das „papierlose Büro“ 


das „menschenlose Büro“ 
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Vielen Dank für Ihre Aufmerksamkeit ! 


Dr. Ulrich Kampffmeyer 


E-Mail: Ulrich.Kampffmeyer@PROJECT-CONSULT.com 


Dokumenter 


” WebSite, Newsletter, Informationen ... 
autes http://www.PROJECT-CONSULT.com 
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Compliance 


Dr. Ulrich Kampffmeyer 


um PROJECT CONSULT 


Dr.UrichKampftmeyer | Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


PROJECT CONSULT 
Unternehmensberatung 
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Agenda 


Begrüßung und Einführung 
Neue gesetzliche Regelungen 
Aktueller Stand der GDPdU 


Information Management 
Compliance 


Records Management 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
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Compliance 


Was ist Compliance 


Compliance als Marktreiber für Document Related 
Technologies in den USA 


Regulative Vorgaben 
Compliance als Markttrend auch in Deutschland 
Grundanforderungen, Zertifizierung, Codes of Best 


Practice und Information Compliance Policies 


Information Management Compliance als 
Bestandteil von Corporate Governance 


Der Wert von Informationen 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 
PROJECT CONSULT 
Unternehmensberatung 
Dr. Gmb 
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=||- Compliance 


Übereinstimmung mit und Erfüllung von 
rechtlichen und regulativen Vorgaben 


„Übereinstimmung“ 


Es wird vorausgesetzt, dass es nachlesbare, 
definierte, offizielle Vorgaben gibt, die die Regeln 
enthalten, was zu tun ist 

Hier ist „Übereinstimmung“ gefordert, ohne das die 
Regeln meistens eine technische Vorgabe 
enthalten, wie die Anforderung umzusetzen ist 
Es ist sinnvoll, da sich solche Vorgaben nicht an 
einer Technologie festmachen sollten, die in ein 
paar Jahren schon wieder obsolet ist 
„Übereinstimmung“ ist statisch bezogen auf die 
Vorgabe 
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„Erfüllung“ 


Der Begriff „Erfüllung“ impliziert zweierlei: 
Einmal, das die Anforderungen in einer Lösung 
umgesetzt werden müssen, und zum Zweiten, dass 
dies ein Prozess ist, keine einmalige Aktion 
Das Unternehmen oder die Organisation muss 
kontinuierlich für die Einhaltung der Vorgaben 
Sorge tragen 

„Erfüllung“ geht dabei meistens über eine rein 
technische Lösung hinaus und beinhaltet auch 
organisatorische und Management-Aspekte 
„Erfüllung“ ist dynamisch, ein ständig laufender, 
kontrollierter Prozess 


1" „Rechtliche Vorgaben“ 


Gesetze oder behördliche Verordnungen, die 
bestimmte Unternehmen, Organisationen oder 
Personen verpflichten, die jeweils aufgeführten 
Regelungen einzuhalten 

Man kann sich nicht um die Erfüllung „drücken“, 
lediglich in Hinblick auf Auslegung, Umfang und 
Umsetzungsweise besteht Handlungsspielraum 


Compliance (S203) 
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„Regulative Vorgaben“ 


Warum unterscheidet man zwischen „rechtlich“ und 
regulativ“? 


Es gibt eine Reihe von Vorgaben, die sich nicht auf 
Gesetze berufen wie z.B. Normen, Standards, 
Codes of Best Practice von Branchen oder andere 
Vorgaben 

Vielfach ergeben sich aus gesetzlichen Vorgaben 
für einen Anwendungsfall auch Auswirkungen und 
implizite Anforderungen für andere Fälle 


Compliance (S203) 


== Unterschiede 


Direkte Auswirkungen 
e HGB 
« AO / GDPdU / GOBS 
« Verrechnungspreisdokumentation 


Indirekte Auswirkungen 
« Basel Il (für „Nicht-Banken‘“) 
« BDSG 


Compliance (S203) 





© PROJECT CONSULT 2005 
59 





Dokumenten-Technologien: Lösungen, aktuelle Trends 
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


=||- Grundsätzlich 


e Alle rechtlichen und gesetzlichen Vorgaben 
gelten auch in der elektronischen Welt! 


e Die Anforderungen der DV-Welt sind jedoch 
häufig noch nicht oder nicht direkt enthalten 
und müssen daher adäquat abgeleitet 
werden 


Compliance (S203) 
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Compliance als Marktreiber für Document 
Related Technologies in den USA 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 
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Wichtigster Grund für Investition in ECM 
in den USA 


Grund für Investition in ECM Technologien USA 





Höhere Gewinne, bessere Performance 





Verbesserung der Wettbewerbsfähigkeit 6% 








Kostenreduzierung 





Compliance 








Verbesserter Kundenservice 





Höhere Reaktionsfähigkeit 








Risk Management 











creea) Effizienzsteigerung 
Dr. Ulrich Kampffmeyer 7; 
PROJECT CONSULT 
Untemstmensbetun 
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SOA Sarbanes-Oxley-Act behindert das 
ECM-Geschäft? 


„Große US-Unternehmen sind damit beschäftigt, ihre Organisationen 
auf bestimmte Vorschriften des US-Bilanzgesetzes »Sarbanes-Oxley 
Act« (SOA) vorzubereiten. Aus diesem Grund sind urplötzlich gegen 
Ende des zweiten Quartals andere IT-Projekte verschoben worden. 
Die Schwäche ist ein isoliertes Problem bei großen US- 
Unternehmen“ 


Lee Roberts 
CEO Filenet 


Quelle: 
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Regulative Vorgaben 


USA 

Europa 

Deutschland 
ausgewählte Branchen 
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Sarbanes Oxley Act von 2002 
TOP auf der Prioritätenliste von CIO und CEO 


Verabschiedet nach großen Finanz-Skandalen 

amerikanischer Unternehmen 

Vertrauen der Anlieger wieder stärker 

Einführung eines Internen Kontrollsystems (IKS) 

Section 404: detaillierte Dokumentation jedes 

signifikanten Geschäftsprozesses 

e wie dieser initiiert, autorisiert, aufgezeichnet, durchgeführt 

und berichtet wird. 

Fokus: Alle Kontrollprozesse rund um die 

Rechnungslegung. 

Section 302: direkte Verantwortung des 

Managements eines Unternehmens 


Sarbanes-Oxley-Act (SOX oder SOA) 


Nach den beiden Leitern der Kommission benannt, die das 
Gesetz entworfen haben 


Das Gesetz findet Anwendung für alle Unternehmen, die an 
der New York Stock Exchange gelistet sind 


SOX hat die Aufgabe, die Transparenz und 
Nachvollziehbarkeit in den Unternehmen bei Prüfungen durch 
die SEC, Securities und Exchange Commission, zu 
verbessern 


Unternehmen werden verpflichtet, u.a. ein internes 
Kontrollsystem für die Rechnungslegung zu unterhalten, die 
Wirksamkeit der Systeme zu beurteilen und die Richtigkeit der 
Jahres- und Quartalsberichte beglaubigen zu lassen 


SOX wurde als Folge von Bilanzskandalen und 
Unternehmenszusammenbrüchen durch die US- 
amerikanische Legislative 2002 erlassen und stellt die 
bedeutendste Änderung der US-Wertpapiergesetze seit 
1933/34 dar 
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=||- SOX - nicht nur für die USA relevant 


Sarbanes-Oxley Act auch für deutsche 
Aktiengesellschaften relevant 


Vorschriften gelten für alle an den US-Börsen 
gelisteten Unternehmen sowie 
Tochtergesellschaften von Unternehmen, deren 
Anteile dort gehandelt werden 


SOX treibt in den USA Records 
Management 


2003: 85% der Befragten sagten aus, dass SOX 
minimalen Einfluss auf Investitionen haben werde 


2004: 77% wollen ihre Ausgaben wegen 
Compliance steigern 


61% wollen in Security investieren 

52% mehr in Speicher 

40% in spezielle Prozesskontrol-Software 
39% in Records Management Systeme 


Compliance (8203) Forrester Research Umfrage bei nordamerikanischen Unternehmen mit mehr als 1000 MA 
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Sarbanes-Oxley-Act 


„- - - Whoever knowingly alters, destroys, mutilates, 
conceals, covers up, falsifies or makes a false entry in 
any record, document or tangible object with intent to 
impede, obstruct or influence the investigation or 
proper administration of any matter within the 
jurisdiction of any department or agency of the United 
States or any case filed under title 11 or in relation to, 
or contemplation of any such matter of case, shall be 
fined under this title, imprisoned not more than 20 
years, or both." 


awu (Quelle: “Sarbanes-Oxley Act of 2002“, Sec. 802, 81519) 


Sarbanes Oxley Act von 2002 
TOP auf der Prioritätenliste von CIO und CEO 


Verabschiedet nach großen Finanz-Skandalen 
amerikanischer Unternehmen 
Vertrauen der Anlieger wieder stärker 
Einführung eines Internen Kontrollsystems (IKS) 
Section 404: detaillierte Dokumentation jedes 
signifikanten Geschäftsprozesses 
e wie dieser initiiert, autorisiert, aufgezeichnet, durchgeführt 
und berichtet wird. 

Fokus: Alle Kontrollprozesse rund um die 
Rechnungslegung. 

Compliance (S203) 

Dr urien kampttnever Section 302: direkte Verantwortung des 
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Explosion der 
Unternehmensinformationen 





Gespeicherte Information 
wächst um 30% pro Jahr 








Über 90% aller „Records“ 4 78% durchschnittliches 


werden elektronisch 


erzeugt 4 Wachstum 














Über 85% der benutzten 
Information befindet sich 
in unstrukturierten 
Dokumenten 








600 
Storgage 
Über 600 Milliarden 400} 

Demand 


eMails werden jedes Jahr | 
verschickt Petabytes200 

















0 
Ungefähr 65% aller 2001 2002 2003 2004 
Informationen sind 
relevante Records, die 
festgehalten werden 
müssten 


95% aller Records 
könnten vernichtet 
Ci li; (S20: 

ee) werden I Feststehende „unstruktur.“ Daten 
Dr. Ulrich Kampffmeyer 


en Į Dynamische „strukturierte“ Daten 


SOX - nicht nur für die USA relevant 


Sarbanes-Oxley Act auch für deutsche 
Aktiengesellschaften relevant 


Vorschriften gelten für alle an den US-Börsen 
gelisteten Unternehmen sowie 
Tochtergesellschaften von Unternehmen, deren 
Anteile dort gehandelt werden 
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Securities und Exchange Commission 
(SEC) 


„ Electronic documents and the storage on which they 
reside contain relevant, discoverable information 
beyond that which may be found in printed 
documents. Therefore, even where a paper copy 
exists, we will seek all documents in their electronic 
form along with information about those documents 
contained on the media." 


(Auszug aus Electronic Evidence Discovery der SEC) 


Food and Drug Administration (FDA) 


FDA 21 CFR Part 11 


Seit dem 20.03.97 ist in den USA die elektronische 
Datenverwaltung und die Benutzung elektronischer 
Unterschriften in Datenüberwachungs- und 
Steuerungssoftware in bestimmten Industriezweigen 
gesetzlich geregelt 


Dieses Gesetz ist auf Maschinen, die in die USA exportiert 
werden, anzuwenden. 


Eine grundsätzliche Forderung der FDA ist, dass 
elektronische Aufzeichnungen äquivalent zu 
Papieraufzeichnungen sind und elektronische Unterschriften 
die gleiche Aussagekraft und Eindeutigkeit wie 
handgeschriebenen Unterschriften haben 


Das System sollte einen einfachen aber wirkungsvollen 
Schutz gegen Manipulation bieten, gleichwohl bekannt ist, 
dass elektronisch erzeugte Daten oder auch 
Papieraufzeichnungen mit genügend krimineller Energie fast 
immer nachträglich verändert oder gelöscht werden können 
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The Health Insurance Portability and 
Accountability Act (HIPAA) 


HIPAA (Gesetz zur Krankenversicherung- 
Uebertragbarkeit und Verantwortlichkeit) von 1996 
wurde in der Vereinigten Staaten eingeführt, um die 
Gesundheitspflege-Industrie zu reformieren 


Die Gesetzgebung strebt nach Ermäßigung der 
Unwirtschaftlichkeit, Verringerung von 
Schreibarbeiten und einfacher Identifizierung und 
Weiterverfolgung von Betrug durch die Auferlegung 
von unterschiedlichen Normen und 
Sicherheitsmassnahmen gegen den Missbrauch 
von gesundheitsbezogenen Angaben des Bürgers 

Conpiance 209) Bei den Regeln handeln sich besonders um 

PROIECT an Normen der Adresse-Transaktion, Code-Sets, 

= Vertraulichkeit und Sicherheit. 


Department of Defense (Dod 5015.2) 


DoD 5015.2: Standard des Departement of 
Defense für Dokumentenmanagement 
Der Standard beschreibt die benötigten Funktionen 
« Informationsmanagement 
e Systemmanagement 
Verfolgt gleichen Ansatz wie DIN/ISO 15489 
„Records Management, geht jedoch weniger auf 
die funktionalen Beschreibungen ein 
Einhaltung der Standards für alle Hersteller 
erforderlich, die für die Bundesverwaltung in den 
USA im militärischen und angrenzendem Bereich 
anbieten wollen 
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Beispiele aus den Richtlinien der EU 


E-Commerce 
Elektronische Signatur 
Umsatzsteuer 

u.a. 
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Compliance in Europa 


Europa: das große, umfassende Ereignis wie der 
Sarbanes-Oxley Act (SOX) fehlt 

Keine industrieübergreifende Fokussierung auf 
Compliance 

Europäische Gerichte / EU diskutieren mehr 
Regularien, aber nichts zu SOX vergleichbares 
wurde implementiert 

Und das trotz: Parmalat in Italien, Ahold in den 
Niederlanden 


Basel ll 


Mit „Basel Il" ist die Neugestaltung der 
Eigenkapitalvorschriften der Kreditinstitute 
bezeichnet 

Der Basler Ausschuss für Bankenaufsicht eröffnete 
mit der Vorlage eines Konsultationspapieres im 
Juni 1999 die Diskussion, die am 26.06.2004 
abgeschlossen wurde 

Ziel von "Basel Il" ist es, die Stabilität des 
internationalen Finanzsystems zu erhöhen 

Dazu sollen die Risiken im Kreditgeschäft besser 
erfasst und die Eigenkapitalvorsorge der 
Kreditinstitute risikogerechter ausgestaltet werden 
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Compliance Treiber Basel Il 


e Häufigste Mängel: 
« nicht nachvollziehbare Kreditentscheidungen 
e ungenügende Kreditprozesse 
e fehlende Berücksichtigung von Risikokonzentrationen in 
den Kreditportfolien 
In den vergangenen zwei Jahren verzeichnete die 
BAFin rund 240 Problemfälle 
Bei über 100 Kreditinstituten wuchsen sie sich zu 
Schieflagen oder Insolvenzen aus 
« Bankgesellschaft Berlin 
e Hofer Schmidt Bank 


=||- Compliance Treiber für Europa 


e Der ISO-Standard 15489 Records Management 
wurde 2001 veröffentlicht und beschreibt für die 
öffentliche Verwaltung ebenso wie für die 
Privatwirtschaft die Best Practices im Umgang mit 
Geschäftsunterlagen 
„Die Standardisierung von Records Management 
Richtlinien und Prozeduren stellt sicher, dass allen 
Geschäftsunterlagen angemessene Beachtung und 
Schutz zukommt, und dass die Fakten und 
Informationen, die sie beinhalten, effizienter und 

Compliance (5205) effektiver gefunden werden können, indem 
r standardisierte Verfahren und Prozeduren 
verwendet werden.“ 
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Records Management in den Industrien 


Pharma: GMP, FDA 


Industrie / Anlagenbau: Einzelvertrag, DIN-Normen, 
Verbandsrichtlinien 


Bankenwesen: Kreditvergaberichtlinien, Basel Il 


Versicherungen: Verträge, Rückversicherungs- 
verträge, v. a. bei hohen Risiken 


Telekom: Kundenakte, Abrechnungsinformationen 
Öffentliche Verwaltung: DOMEA 
generische Anforderungen 





Funktionen rund um 
Records Management 


Funktion Archiv 





Archivierung 





Importfunktion Aufzeichnungen 





Aufbereitung, Aktenorganisation 





Bearbeitung, Änderung 





Retention-Verwaltung 





Vernichtung 





Protokollierung 





Vollständigkeitskontrolle 











XX XX] x| Xx] x] x| Xx 


Eskalation / Qualitätssicherung 
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=||- Compliance Treiber eGovernment 


„Model Requirements for the Management of 
Electronic Records — MoReq“ 
« Initiative der Europäischen Kommission 


e Liste funktionaler Anforderungen an elektronische 
Records Management Systeme 


auch die Anforderungen der Geschäftskontrolle und 
Prozessführung weitgehend abgedeckt 


soll in Europa die Umsetzung des eGovernment 
unterstützen 
In Deutschland (Projekt DOMEA) und Österreich 
ee (Projekt ELAK) und in der Schweiz (GEVER) 
nn bestehen vergleichbare länderspezifische 
en Konzepte, zur Vorgangsbearbeitung. 


Rechtsgrundlagen 


Handelsrecht und Steuerrecht (HGB, AO, GDPdU, GoBS ...) 
Sonstiges rechtliches Umfeld 

Elektronische Signatur 

Compliance 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 
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=||- Massive Veränderung der rechtlichen 
Situation 


Grundsätze zum Datenzugriff und zur 
Prüfbarkeit digitaler Unterlagen 


Infarmatın 


Bundesdatenschutzgesetz 


Eıenu UIIIDUIIGI DC 


Verwaltungsverfahrensgg 
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Rechtsfragen 
Archivierung von Dokumenten 


In der alten Bürowelt gab es stets die Fragen: 
e Was kann weggeworfen werden? 
« Im Ordner kann ich blättern und finde immer alles... 


e “Ein Büro ohne Papier ist genauso sinnvoll wie eine Toilette 
ohne Papier.” (Unbekannt) 


In der neuen digitalen Welt folgende: 


e Was muss gespeichert werden...und in welcher Form?...bevor 
es für immer verloren ist? 


Wie wird der Kontext einer Web-Transaktion sicher 
dokumentiert? Werden Dokumente mit Metadaten verbunden 
und die Verarbeitung dokumentiert? 


Compliance (209) In absehbarer Zukunft werden die Benutzer mit einen 

a cae komplexen Mix aus Datei-Typen umgehen müssen, die nicht 
i ner nur von verschiedenen Quellen stammen, sondern auch an 
weten verschiedene Stellen versendet werden müssen. 


nsult-com 
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Compliance als Markttrend auch in 
Deutschland? 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 
PROJECT CONSULT 


Compliance in Deutschland 


Viele der neuen Regularien haben ihren Ursprung 
in der europäischen Gesetzgebung 


Mit etwas Zeitverzögerung wird jede Richtlinie der 
Europäischen Kommission in nationales Recht 
überführt, so dass es sich lohnt, immer einen Blick 
auf die Vorgaben und Entwicklungen Brüssels zu 
werfen 
Bereits durch die Richtlinien zum E-Commerce und 
zur elektronischen Signatur sind eine Reihe von 
Anforderungen für Compliance in Deutschland 
a entstanden 
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Grundsätze ordnungsgemäßer DV-gestützter 
Buchführungssysteme (GOBS) 


Bei den GoBS handelt es sich um Vorschriften mit 
bundesweiter Gesetzeskraft (BMF-Schreiben von 
1997) 

Sie schreiben bei elektronischer Buchführung die 
Dokumentation betroffener Geschäftsvorfälle und 
des Gesamtsystems vor 

In den GOBS sind die Grundsätze für die 
revisionssichere Archivierung und die 
Verfahrensdokumentation festgelegt 

Handels- und Steuerrecht fordern die Einhaltung 
der GOBS ein 
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Gesetz zur Kontrolle und Transparenz 
im Unternehmensbereich (KonTra6G) 


Im Mai 1998 verabschiedete Gesetz zur Kontrolle 
und Transparenz im Unternehmensbereich im BGBl 
Ziel des KonTraG sind die Verbesserung der Arbeit 
des Aufsichtsrates, die Erhöhung der Transparenz, 
die Stärkung der Kontrolle durch die 
Hauptversammlung, der Abbau von 


Stimmrechtsdifferenzierungen, die Zulassung 
moderner Finanzierungs- und 
Vergütungsinstrumente, die Verbesserung der 
Qualität der Abschlußprüfung und der 
Zusammenarbeit von Abschlußprüfer und 
en Aufsichtsrat sowie die kritische Prüfung des 
Dr. uien kamptimeyar Beteiligungsbesitzes von Kreditinstituten 
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Grundsätze zum Datenzugriff und zur 
Prüfbarkeit digitaler Unterlagen (GDPdU) 


Der digitale Durchgriff der Finanzverwaltung auf die 
Unternehmensdaten mit Ziel der Steigerung der 
Effizienz der Finanzbehörden 


Ähnlich den GoBS handelt es sich um bundesweit 
gültige Vorschriften in Form eines BMF-Schreibens, 
zur Sicherstellung des Zugriffs der 
Finanzverwaltung auf die gesamten, 
buchhaltungsrelevanten DV-Daten eines 
Unternehmens 


Prüfbarkeit steuerrelevanter Daten mit Z1, Z2, und 
Z3 

Zugriff über die Dauer der Aufbewahrungsfrist auf 
Basis originärer Daten 


Verrechnungspreisdokumentation 


Verordnung zu Art, Inhalt und Umfang von 
Aufzeichnungen im Sinne des §90 Abs. 3 der 
Abgabenordnung (AO) 


Sie legt fest, welche Unterlagen und 
Dokumentationen zu erstellen sind, wenn 
Leistungen mit "nahestehenden Personen" 
verrechnet werden 


Inhalt, Art und Umfang der Dokumentationspflichten 

werden durch eine Rechtsverordnung (GAufzV) 

näher bestimmt, die mit Rückwirkung zum 30. Juni 
Be 2003 in Kraft getreten ist. 


Dr. Ulrich Kampffmeyer 
P! SULT 
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Dokumentenmanagement und elektro- 
nische Archivierung (DOMEA) 


DOMEA: Dokumentenmanagement und 
elektronische Archivierung eines IT-gestützten 
Geschäftsgangs 

Von der Koordinierung- und Beratungsstelle der 
Bundesregierung für Informationstechnik in der 
Bundesverwaltung und Bundesministerium des 
Inneren 

Zielgruppe: Öffentliche Verwaltung. Andere 
Institutionen schließen sich zunehmend an 
(z.B. Versicherungsträger) 

Aktuell: Version 2 

Zertifizierungsverfahren (derzeit 10 Anbieter) 


Gesetzesgrundlagen in Deutschland 
Überblick (1) 


HGB/AO - Handelsgesetzbuch/Abgabenordnung 
« Einführungsgesetz zur Abgabenordnung 1977 
geändert 2000 
BGB - Bürgerliches Gesetzbuch 


« 2001 Anpassung der Formvorschriften für den 
Rechtsgeschäftsverkehr 


« 8 126 BGB Schriftform / Textform / elektronische Form 
SigG - Signaturgesetz 
« Grundlage: RLES Europäische Richtlinie für elektronische 
Signaturen 
e 3 (+ 1) Qualitäten der elektronischen Signatur 
EGG - Elektronischer Geschäftsverkehrgesetz 
e Herkunftslandprinzip 
e Revisionssichere Protokollierung von Geschäftstransaktionen 
Steuergesetzgebung 
e Steuersenkungsgesetz von 2000 


ug Dokumenten-Technologien: Lösungen, aktuelle Trends 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 


20251 Hamburg 
www-project-consult-cor 

© PROJECT CONSULT 2005 
155 


nsberatung 
mpfímeyer GmbH 
7 


w-project-consult-com 
© PROJECT CONSULT 2005 
156 


© PROJECT CONSULT 2005 
78 





PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Gesetzesgrundlagen in Deutschland 
Uberblick (2) 


TDG - Teledienstegesetz 
TDDSG - Teledienstedatenschutzgesetz 
SGB - Sozialgesetzbuch 
« Elektronische Signatur beim Scannen 
ZPO - Zivilprozessordnung 


e keine Urkundenqualität 
« Objekt des Augenscheins 


BDSG - Bundesdatenschutzgesetz 
« Datenschutz 
« Recht auf Löschung personenbezogener Daten 


Gesetzesgrundlagen in Deutschland 
Überblick (3) 


luKDG - Informations- und Kommunikationsdienstegesetz 
« Daten- und Dokumentenaustausch 
Elektronische Signatur (siehe SigG) 
Betr.VerfG - Betriebsverfassungsgesetz 
e  Unterweisungsrecht 
e  Mitbestimmungsrecht des Betriebsrates 


VwVfG — Verwaltungsverfahrensgesetz 


« 3. Änderungsgesetz mit Verankerung der elektronischen 
Signatur in zahlreichen Bereichen 


3. Gesetz zur Änderung verwaltungsverfahrens-rechtlicher 
Vorschriften 


Ohne Anspruch auf Vollständigkeit ! 
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Verordnungen und Umsetzungsrichtlinien 
Uberblick 


GoBS 


« Grundsätze ordnungsgemäßer DV-gestützter 
Buchführungssysteme 


GDPdU 


e Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler 
Unterlagen 


SIGV 
e Signaturverordnung 
SRVwV 


« Allgemeine Verwaltungsvorschrift über das 
Rechnungswesen in der Sozialversicherung 


u.a. 


HGB Handelsgesetzbuch 


Die §§ 239, 257 HGB regeln die grundsätzlichen 
Voraussetzungen für die Archivierung von kaufmännischen 
Dokumenten — unabhängig davon, ob in Papier oder in 
elektronischer Form 
Die grundsätzlichen Anforderungen lassen sich wie folgt 
zusammenfassen: 

Ordnungsmäßigkeit 

Vollständigkeit 

Sicherheit des Gesamtverfahrens 

Schutz vor Veränderung und Verfälschung 

Sicherung vor Verlust 

Nutzung nur durch Berechtigte 

Einhaltung der Aufbewahrungsfristen 

Dokumentation des Verfahrens 

Nachvollziehbarkeit 

Prüfbarkeit 
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AO Abgabenordnung 
Aufbewahrungsform und -fristen 


In der Abgabenordnung §§ 146, 147, 200 AO sind die 
Anforderungen an die Aufbewahrung und die Prüfung 
von kaufmännischen Dokumenten aufgeführt. 


Papierform 


e Papierform nur für Eröffnungsbilanz und Jahres- 
abschlüsse vorgeschrieben 


« Elektronische Aufbewahrung muss GoB entsprechen 


Aufbewahrungsfristen 


e 10 Jahre für Bücher und Aufzeichnungen, Jahres- 
abschlüsse, Lageberichte, Eröffnungsbilanz, Arbeits- 
anweisungen und Organisationsunterlagen hierzu 


A « 10 Jahre für Buchhaltungsbelege 
Dr. Urt Kampmeyer « 6 Jahre für Handels- oder Geschäftsbriefe 


= « Wenn die Festsetzungsfrist noch nicht abgelaufen ist 
auch längere Aufbewahrungsfristen möglich 


AO Abgabenordnung 
Aufbewahrungspflicht der Daten 


« Die Änderungen in der AO führten zur digitalen 
Steuerprüfung, die in den GDPdU beschrieben ist. 
« Während der Aufbewahrungsfristen müssen Daten 
jederzeit verfügbar sein, unverzüglich lesbar gemacht 
werden und maschinell ausgewertet werden können 
Sind Daten mit einem DV-System erzeugt worden, hat die 
Finanzbehörde das Recht, Einsicht zu nehmen und das 
System zur Prüfung zu nutzen 
Die Daten müssen maschinell auswertbar sein und auf 
Anforderung auf Datenträgern zur Verfügung gestellt 
Compliance (S203) we rd en 
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© PROJECT CONSULT 2005 
81 


Dokumenten-Technologien: Lösungen, aktuelle Trends 
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


GDPdU 


Was heißt GDPdU ? 

„Grundsätze zum Datenzugriff und zur Prüfbarkeit 
digitaler Unterlagen“ 

e Umfeld 


e Buchhaltungsdaten 


« Sonstige steuerrechtlich relevante Informationen und 
Dokumente 


e Gültigkeit 
« Brief vom BMF 16.07.2001 
e Umzusetzen ab 01.01.2002 
e Übergangsregelungen abgelaufen 


Compliance (S203) 


ounner ° Herkunft 


« Steuerreform (StSenkG) 
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Wichtige Aussagen der GDPdU 


Datenzugriff 


Prüfungsgegenstand sind wie bisher nur die 

aufbewahrungspflichtigen Unterlagen 

Recht auf direkten Zugriff auf kaufmännische Systeme mit 

Recherchemöglichkeit 

Drei additive Formen des Zugriffs: 

Z1 die eigenständige Recherche beim Steuerpflichtigen mit 
Unterstützung durch das Personal des Steuerpflichtigen 
(Unmittelbarer Zugriff) 

Zurverfügungstellung von Auswertungen durch den 
Steuerpflichtigen entsprechend den Vorgaben des Prüfers 
(Mittelbarer Zugriff) 


die Mitnahme von Medien mit allen Daten und Dokumenten 
für die Prüfung im Finanzamt (Datenträgerüberlassung) 


project-consult-com 
ROJECT CONSULT 2005 
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Prüfbarkeit digitaler Unterlagen 


Elektronische Unterlagen sind: 
« Elektronische Abrechnungen 


e Die qualifizierte elektronische Signatur ist Bestandteil der 
elektronischen Abrechnung 


Elektronisch signierte Dokumente 


Sonstige aufbewahrungspflichtige Unterlagen i.S.d. 8147 Abs. 
1AO, die digitalisiert sind und nicht in Papierform übermittelt 
werden 


Aufbewahrungsfristen 
Speicherung von Zertifikaten 
Protokollierung 
Konvertierung 
Verarbeitung 
Indexänderungen 
Transformationen 


Wichtige Aussagen der GDPdU 





Archivierung digitaler Unterlagen 


Maschinelle Auswertbarkeit 
COM-Verfilmung nicht mehr ausreichend 
PDF, TIFF und andere Image-Formate für 


ursprünglich auswertbare Dateien nicht zulässig 


Nur einmal beschreibbare digitale Speicher 
(WORM-Verfahren: write once read many) 
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=||- BGB Bürgerliches Gesetzbuch 


e Durch das „Gesetz zur Anpassung der Formvor- 
schriften des Privatrechts und anderer Vorschriften 
an den modernen Rechtsgeschäftsverkehr“ vom 
3.7.2001 werden in den §§ 126, 127 BGB 
elektronische Dokumente rechtlich anerkannt: 


« Die schriftliche Form kann nach § 126 (3) BGB durch die 
elektronische Form ersetzt werden 


In § 126a BGB ist die qualifizierte elektronische Signatur 
verankert, die verwendet werden muss, um eine 
Gleichstellung von Schriftform und elektronischer Form 
zu erreichen. 


In § 127b BGB wird auch die vereinbarte Form für die 
Verwendung elektronischer Dokumente und 
Übertragungsformen geöffnet 


Bürgerliches Gesetzbuch 
BGB 


88126a, 126b, 127 — Schriftform / Textform 
Rechtliche Grenzen bei der digitalen Archivierung 


Änderung von Schriftform in elektronische Form 
und Textform. Gleichstellung elektronischer 
Dokumente 


Rechtsfolge: Der Empfänger eines elektronischen 
Dokuments kann sich auf die Vermutung der 
Echtheit berufen. Der Schlüsselinhaber haftet dafür, 
dass unberechtigte Dritte die eigene Chipkarte 
missbraucht haben 


Compliance (S203) 
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Bürgerliches Gesetzbuch 
BGB 


Ausnahmen von der elektronischen Form: 
Verbraucherschutz 


Kündigung, Beendigung, Befristung eines 
Arbeitsverhältnisses 


Zeugnis 
Bürgschaftserklärung 
Schuldversprechen 
Schuldanerkenntnis 
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=||- BGB Bürgerliches Gesetzbuch 


Die Änderungen des BGB sind von grundlegender 
Natur für alle elektronischen Dokumente! 

Die Einführung der elektronischen Form betrifft alle 
Rechtsbereiche und zog eine Vielzahl von 
Gesetzesänderungen und Änderungen von 


Formvorschriften nach sich. 
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Elektronisches Geschäftsverkehrgesetz 
EGG 


In Kraft seit 20.12.2001 


Herkunftslandprinzip 


e Unternehmen müssen sich in die Rechtsordnungen 
anderer EU-Staaten einarbeiten 


Negativ unter Verbraucherschutzgesichtspunkten: 
Massive Auswirkungen auf das deutsche Wettbewerbs- 
und Werberecht (z.B. Streichung von Zugabeverordnung 
oder Rabattgesetz) 
Revisionssichere Protokollierung von 
Geschäftstransaktionen: 
ar „Elektronischer Poststempel“ 
or Urn anstnne bei B2B-Transaktionen 


PROU 
ter 


Teledienste 
TDG & TDDSG 


Teledienstegesetz (TDG) 
Angebot von Produkten und Dienstleistungen auf einer 
Homepage 
Unterscheidung zwischen Content Provider, Service Provider 
und Access Provider 
Hauptpflicht: Der vereinbarte Teledienst 
Nebenpflicht: Störungsfreie Übermittlung 
Teledienstedatenschutzgesetz (TDDSG) 
Grundsatz der Datenvermeidung: Es sind so wenig 
personengebundenen Daten wie möglich zu erheben und zu 
speichern 
Bestands-, Nutzungs- und Abrechnungsdaten 
Kostenfreies Recht die gespeicherten Informationen auch 
elektronisch einsehen zu können 
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Zivilprozessordnung 
ZPO 


8 292a: Eine in elektronischer Form vorliegende 
Willenserklärung (entsprechend § 126a BGB) gilt 
als sogenannter Beweis des ersten Anscheins 


Dies gilt nur dann nicht, wenn aufgrund von 
Tatsachen ernstliche Zweifel daran bestehen, dass 
die Erklärung mit dem Willen des 
Signaturschlüsselinhabers abgegeben wurde 


Erweiterung der bisherigen Beweisgrundsätze: 
Beim Bestreiten der Echtheit einer Unterschrift 
muss ein voller Beweis erbracht werden 
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Zivilprozessordnung 
ZPO 


Nach § 286 unterliegen elektronische Dokumente 
der freien Beweiswürdigung. 


Das Prozessrisiko wird durch die elektronische 
Unterschrift reduziert ... 


und zusätzlich durch die Verwendung akkreditierter 


Signaturen als Öffentliches Gütesiegel abgesichert 


Compliance (S203) 


Dr. Ulrich Kampfimeyer 
P! SULT 
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Bundesdatenschutzgesetz 
BDSG 


Datenschutz 

Löschung und Sperrung von Daten 

Recht auf Löschung personengebundener Daten 
In 2001 novelliert - Speicherung steuerrelevanter 
Informationen in elektronischen Personalakten 
sollte vermieden oder die Daten redundant 
gespeichert werden, um Zugriff von Prüfern auf 
persönliche, schützenswerte Daten zu vermeiden 


Betriebsverfassungsgesetz 
BetrVerfG 


881 Unterrichtungs- und Erörterungspflicht des 
Arbeitgebers 

(1) Der Arbeitgeber hat den Arbeitnehmer über 
dessen Aufgabe und Verantwortung sowie über die 
Art seiner Tätigkeit und ihre Einordnung in den 
Arbeitsablauf des Betriebes zu unterrichten. 


891 Mitbestimmungsrecht 

Werden die Arbeitnehmer durch Änderung der 

Arbeitsplätze, des Arbeitsablaufs oder der 

Arbeitsumgebung ... in besonderer Weise belastet, 
Compianc (5203 so kann der Betriebsrat angemessene Maßnahmen 
Pro conu zur Abwendung, Milderung oder zum Ausgleich der 

Belastung verlangen. 
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SRVwV 


Allgemeine Verwaltungsvorschrift über das 
Rechnungswesen in der Sozialversicherung 
Letzte Änderung 06.08.1999 
8 36 (1) Aufbewahrung von Dokumenten 

« Elektronische Signatur 

« Bildliche Wiedergabe 
8 36 (2) Aufbewahrung von Daten 

e Ursprünglicher Inhalt unveränderbar 

e Maschinell verwendbare Datenträger 

8 36 (3) Einschränkungen für bestimmte 
Dokumente 


Verwaltungs- und Verfahrensrechtliche 
Vorschriften 


„Drittes Gesetz zur Änderung 
verwaltungsverfahrensrechtlicher Vorschriften“ vom 
27. August 2002 


Amtliche Papiere können nun auch elektronisch 
unterschieben werden 

Der Bürger hat die Wahl zwischen „Kugelschreiber 
und elektronischer Signatur“ 

Notwendigkeit von Anpassungen durch die 
Landesregierungen 

Die technischen Voraussetzungen fehlen weiterhin! 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
P! SULT 
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3. Gesetz zur Änderung verwaltungs- 
verfahrensrechtlicher Vorschriften 


Verwaltungsverfahrensgesetz / §§ 3, 15, 23, 33, 37, 39, 41, 42, 44, 45, 61, 69, 71, 101 / besonders Ersatz oder Ergänzung der Schriftform mit 
elektronischen Dokumenten, Verankerung der qualifizierten elektronischen Signatur / 
Sozialgesetzbuch, 10. Buch / §§ 13, 14, 19, 21, 29, 33, 35, 38, 40, 60 / besonders Verankerung der qualifizierten elektronischen Signatur und ihrer 
Nutzung auch als Beglaubigung / 
‚Abgabenordnung /8$ 80, 87, 93, 119, 121, 122, 123, 125, 129, 150, 224, 244, 309, 324, 356, 366 / Besonders Verankerung der qualifizierten 
elektronischen Signatur und ihrer Nutzung auch als Beglaubigung; Regelungen zur Anerkennung elektronischer Dokumente im Rechtsstreit / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium des Innern: / - Staatsangehörigengesetz / - Bundesministergesetz / - 
Sicherheitsprüfungsgesetz / - Beamtenrechtsrahmengesetz /- Bundesbeamtengesetz / - Bundesreisekostengesetz / - Bundesumzugskostengesetz / - 
Bundesdatenschutzgesetz / - Passgesetz / - Personenstandsgesetz / - Vereinsgesetz / - Bundesstatistikgesetz / - Gesetz über die Änderung von / 
Familiennamen und Vornamen /- Verordnung zur Ausführung des / Personenstandsgesetz / - Verordnung zur Regelung des öffentlichen Vereinrechts 
(Vereinsgesetz) / Zahlreiche Einzelparagraphen, besonders mit Verankerung der neuen Schriftform nach BGB und Festlegungen, welche Dokumente 
nicht in elektronischer Form akzeptiert werden / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium der Justiz: / - Vermögenszuordnungsgesetz / - Einführungsgesetz zum Bürgerlichen / 
Gesetzbuch /- Bodensonderungsgesetz / - Investitionsvorranggesetz / - Grundstückverkehrsordnung / Zahlreiche Einzelparagraphen, besonders mit 
Verankerung der neuen Schriftform nach BGB und der qualifizierten elektronischen Signatur / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium der Finanzen: / - Grunderwerbsteuergesetz /- Erbschaftssteuer- und 
Schenkungssteuergesetz / - Versicherungssteuergesetz 1996 / - Kraftfahrzeugsteuergesetz 1994 / - Feuerschutzsteuergesetz / - Kreditwesengesetz / - 
‚Auslandinvestment-Gesetz / - Gesetz über Bausparkassen / - Erbschaftssteuer-Durchführungsverordnung / - Ausführungen zum Rennwett- und / 
Lotteriegesetz / - Kraftfahrzeugsteuer-Durchführungsverordnung / Eher geringfügige Anpassungen und Ergänzungen zu schriftlichen Anträgen, 
‚Auskünften etc. sowie teilweiser Verankerung der qualifizierten elektronischen Signatur / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Wirtschaft und Technologie: /- Wirtschaftsprüferordnung / - Bundesberggesetz / - 
‚Außenwirtschaftsverordnung / Hier geht es eher um die Ausschlüsse der elektronischen Form. / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Verbraucherschutz, Ernährung und Landwirtschaft: / - Weingesetz / - Wein- 
Vergünstigungsverordnung /- Verordnung flächenbezogene Hopfenbeihilfe / - Pflanzenschutzmittelverordnung / - Pflanzenbeschauverordnung /- 
Psittakose-Verordnung /- Fischseuchen-Verordnung / Hier geht es eher um die Ausschlüsse der elektronischen Form. / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Arbeit und Sozialordnung: / - Sozialgesetzbuch, Viertes Buch / Zahlreiche Änderungen 
zur elektronischen Form, Aufbewahrung von Unterlagen und qualifizierten Signatur in den §§ 28, 79, 110 / - Sozialgesetzbuch, Siebtes Buch / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Verkehr, Bau- und Wohnungswesen / - Personenbeförderungsgesetz / - 
Binnenschifffahrtsaufgabengesetz / - Flaggenrechtsgesetz / - Seelotgesetz / - Luftverkehrgesetz / - Ölhaftungsbescheinigungs-Verordnung / - Verordnung 
über die Zuständigkeit für / die Verfolgung und Ahndung von / Ordnungswidrigkeiten nach dem/ Gesetz über Schifferdienstbücher / - 
Verordnung über Seefunkzeugnisse / - Schiffsmechaniker-Ausbildungsverordnung / - Verordnung über die Seediensttauglichkeit / - Verordnung über die 
Krankenfürsorge / auf Kauffahrteischiffen / - Schiffsoffizierausbildungsverordnung / - Schiffsvermessungsverordnung / Hier geht es meistens um die 
‚Ausschlüsse der elektronischen Form. / 

Compliance (8203) Verwaltungsrecht im Geschäftsbereich des Bundesministerium der Verteidigung / - Wehrpflichtgesetz / - Soldatengesetz / - Soldatenversorgungsgesetz / 
Zahlreiche Einzelparagraphen, besonders mit Ausschlusskriterien, wo die elektronische Form nicht benutzt werden darf. / 

Be Uen Kamprimeven Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Familie, Frauen, Senioren und Jugend: / - Zivildienstgesetz / Die elektronische Form 

een an wird in einem § eingefügt. / 

Untemehmensberatung Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit: / - Bundes-Immissionsschutzgesetz / - 

Dr. Ulrich Kampffmeyer GmbH Kreislaufwirtschaft- und Abfallgesetz / - Atomgesetz / - Atomrechtliche Zuverlässigkeitsüberprüfungs-Verordnung / mit Einführung der elektronischen 

Breitenfelder Straße 17 Kommunikation aber auch vielen Ausschlüssen der elektronischen Form. / 

20251 Hamburg 

Wwww-project-consult-com 
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= 3. Gesetz zur Änderung verwaltungs- 
verfahrensrechtlicher Vorschriften 


Verwaltungsverfahrensgesetz / §§ 3, 15, 23, 33, 37, 39, 41, 42, 44, 45, 61, 69, 71, 101 / besonders Ersatz oder Ergänzung der Schriftform mit 
elektronischen Dokumenten, Verankerung der qualifizierten elektronischen Signatur / 

Sozialgesetzbuch, 10. Buch / §§ 13, 14, 19, 21, 29, 33, 35, 38, 40, 60 / besonders Verankerung der qualifizierten elektronischen Signatur und ihrer 
Nutzung auch als Beglaubigung / 


«Abgabenordnung / §§ 80, 87, 93, 119, 121, 122, 123, 125, 
129, 150, 224, 244, 309, 324, 356, 366 / Besonders 
Verankerung der qualifizierten elektronischen Signatur und 


ihrer Nutzung auch als Beglaubigung; Regelungen zur 
Anerkennung elektronischer Dokumente im Rechtsstreit 


[op 
Psittakose-Verordnung / - Fischseuchen- ‚Verordnung Tier geht es eher um die Ausschlüsse der elektronischen Form. / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Arbeit und Sozialordnung: / - Sozialgesetzbuch, Viertes Buch / Zahlreiche Änderungen 
zur elektronischen Form, Aufbewahrung von Unterlagen und qualifizierten Signatur in den §§ 28, 79, 110 / - Sozialgesetzbuch, Siebtes Buch / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Verkehr, Bau- und Wohnungswesen / - Personenbeförderungsgesetz / - 
Binnenschifffahrtsaufgabengesetz / - Flaggenrechtsgesetz / - Seelotgesetz / - Luftverkehrgesetz / - Ölhaftungsbescheinigungs-Verordnung / - Verordnung 
über die Zuständigkeit für / die Verfolgung und Ahndung von / Ordnungswidrigkeiten nach dem/ Gesetz über Schifferdienstbücher / - 
Verordnung über Seefunkzeugnisse / - Schiffsmechaniker-Ausbildungsverordnung / - Verordnung über die Seediensttauglichkeit / - Verordnung über die 
Krankenfürsorge / auf Kauffahrteischiffen / - Schiffsoffizierausbildungsverordnung / - Schiffsvermessungsverordnung / Hier geht es meistens um die 
‚Ausschlüsse der elektronischen Form. / 

Compliance (8203) Verwaltungsrecht im Geschäftsbereich des Bundesministerium der Verteidigung / - Wehrpflichtgesetz / - Soldatengesetz / - Soldatenversorgungsgesetz / 
Zahlreiche Einzelparagraphen, besonders mit Ausschlusskriterien, wo die elektronische Form nicht benutzt werden darf. / 

BAUNA Kemer even Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Familie, Frauen, Senioren und Jugend: / - Zivildienstgesetz / Die elektronische Form 

PROJECT CONSULT wird in einem $ eingefügt. / 

Unternehmensberatung Verwaltungsrecht im Geschäftsbereich des Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit: / - Bundes-Immissionsschutzgesetz / - 

Dr. Ulrich Kampffmeyer GmbH Kreislaufwirtschaft- und Abfallgesetz / - Atomgesetz / - Atomrechtliche Zuverlässigkeitsüberprüfungs-Verordnung / mit Einführung der elektronischen 

Breitenfelder Straße 17 Kommunikation aber auch vielen Ausschlüssen der elektronischen Form. / 

20251 Hamburg 

www-project-consult-com 

© PROJECT CONSULT 2005 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PROJECT CONSULT 
Unternehmensberatung 

Dr. Ulrich Kampffmeyer GmbH 
Breitenfelder Straße 17 

20251 Hamburg 
Wwww-project-consult-com 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PROJECT CONSULT 
Unternehmensberalung 

Dr. Ulrich Kampffmeyer GmbH 
Breitenfelder Straße 17 

20251 Hamburg 
www-project-consult-com 
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3. Gesetz zur Änderung verwaltungs- 
verfahrensrechtlicher Vorschriften 


Verwaltungsverfahrensgesetz / §§ 3, 15, 23, 33, 37, 39, 41, 42, 44, 45, 61, 69, 71, 101 / besonders Ersatz oder Ergänzung der Schriftform mit 
elektronischen Dokumenten, Verankerung der qualifizierten elektronischen Signatur / 

Sozialgesetzbuch, 10. Buch / §§ 13, 14, 19, 21, 29, 33, 35, 38, 40, 60 / besonders Verankerung der qualifizierten elektronischen Signatur und ihrer 
Nutzung auch als Beglaubigung / 

Abgabenordnung /8$ 80, 87, 93, 119, 121, 122, 123, 125, 129, 150, 224, 244, 309, 324, 356, 366 / Besonders Verankerung der qualifizierten 
elektronischen Signatur und ihrer Nutzung auch als Beglaubigung; Regelungen zur Anerkennung elektronischer Dokumente im Rechtsstreit / 
Verwaltungsrecht im Geschäftsbereich des Bundesministerium des Innern: / - Staatsangehörigengesetz /- Bundesministergesetz / - 
Sicherheitsprüfungsgesetz / - Beamtenrechtsrahmengesetz /- Bundesbeamtengesetz / - Bundesreisekostengesetz / - Bundesumzugskostengesetz / - 
Bundesdatenschutzgesetz / - Passgesetz / - Personenstandsgesetz / - Vereinsgesetz / - Bundesstatistikgesetz / - Gesetz über die Änderung von / 
Familiennamen und Vornamen /- Verordnung zur Ausführung des/ Personenstandsgesetz / - Verordnung zur Regelung des öffentlichen Vereinrechts 
(Vereinsgesetz) / Zahlreiche Einzelparagraphen, besonders mit Verankerung der neuen Schriftform nach BGB und Festlegungen, welche Dokumente 
nicht in elektronischer Form akzeptiert werden / 

Verwaltungsrecht im Geschäftsbereich des Bundesministerium der Justiz: / - Vermögenszuordnungsgesetz / - Einführungsgesetz zum Bürgerlichen / 
Gesetzbuch /- Bodensonderungsgesetz / - Investitionsvorranggesetz / - Grundstückverkehrsordnung / Zahlreiche Einzelparagraphen, besonders mit 
Verankerung der neuen Schriftform nach BGB und der qualifizierten elektronischen Signatur / 

Verwaltungsrecht im Geschäftsbereich des Bundesministerium der Finanzen: / - Grunderwerbsteuergesetz /- Erbschaftssteuer- und 
Schenkungssteuergesetz / - Versicherungssteuergesetz 1996 / - Kraftfahrzeugsteuergesetz 1994 / - Feuerschutzsteuergesetz / - Kreditwesengesetz / - 
Auslandinvestment-Gesetz / - Gesetz über Bausparkassen / - Erbschaftssteuer-Durchführungsverordnung / - Ausführungen zum Rennwett- und / 


Verwaltungsrecht im Geschäftsbereich des Bundesministerium der 
Justiz: / - Vermögenszuordnungsgesetz / - Einführungsgesetz zum 
Bürgerlichen / Gesetzbuch / - Bodensonderungsgesetz / - 
Investitionsvorranggesetz / - Grundstückverkehrsordnung / Zahlreiche 
Einzelparagraphen, besonders mit Verankerung der neuen Schriftform 
nach BGB und der qualifizierten elektronischen Signatur 

an In ee hrs des Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit: / - Bundes-Immissionsschutzgesetz / - 


Kreislaufwirtschaft- und Abfallgesetz / - Atomgesetz / - Atomrechtliche Zuverlässigkeitsüberprüfungs-Verordnung / mit Einführung der elektronischen 
Kommunikation aber auch vielen Ausschlüssen der elektronischen Form. / 


Bundesdatenschutzgesetz 
BDSG 


Datenschutz 

Löschung und Sperrung von Daten 

Recht auf Löschung personengebundener Daten 
In 2001 novelliert - Speicherung steuerrelevanter 


Informationen sollte vermieden oder die Daten 
redundant archiviert werden, um Zugriff von Prüfern 
auf persönliche, schützenswerte Daten zu 
vermeiden 
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Zivilprozessordnung 
ZPO 


8 292a: Eine in elektronischer Form vorliegende 
Willenserklärung (entsprechend § 126a BGB) gilt 
als sog. Beweis des ersten Anscheins 


Dies gilt nur dann nicht, wenn aufgrund von 
Tatsachen ernstliche Zweifel daran bestehen, dass 
die Erklärung mit dem Willen des 
Signaturschlüsselinhabers abgegeben wurde 


Erweiterung der bisherigen Beweisgrundsätze: 
Beim Bestreiten der Echtheit einer Unterschrift 
muss ein voller Beweis erbracht werden 
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Zivilprozessordnung 
ZPO 


Nach § 286 unterliegen elektronische Dokumente 
der freien Beweiswürdigung 


Das Prozessrisiko wird durch die elektronische 
Unterschrift reduziert 


Und zusätzlich durch die Verwendung akkreditierter 


Signaturen als Öffentliches Gütesiegel 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
P! SULT 
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Betriebsverfassungsgesetz 
BetrVerfG 


881 Unterrichtungs- und Erörterungspflicht des 
Arbeitgebers 

(1) Der Arbeitgeber hat den Arbeitnehmer über 
dessen Aufgabe und Verantwortung sowie über die 
Art seiner Tätigkeit und ihre Einordnung in den 
Arbeitsablauf des Betriebes zu unterrichten. 


891 Mitbestimmungsrecht 

Werden die Arbeitnehmer durch Änderung der 

Arbeitsplätze, des Arbeitsablaufs oder der 

Arbeitsumgebung ... in besonderer Weise belastet, 
Compiano (5203) so kann der Betriebsrat angemessene Maßnahmen 


proueoT consut zur Abwendung, Milderung oder zum Ausgleich der 
~ Belastung verlangen. 


GoBS Grundsätze ordnungsgemäßer 
DV-gestützter Buchführungssysteme 


Die GoBS besteht aus einem BMF-Schreiben und einer 
Ausarbeitung der AWV, die im Bundessteuerblatt Teil 1 vom 
14.12.1995 veröffentlicht wurde 

Die Anforderungen gelten nicht nur für Buchführungssysteme 
sondern sind auch für Dokumenten-Management und 
elektronische Archivsysteme anzuwenden 


In der GoBS ist im Detail geregelt: 


« wie mit gescannten Dokumenten und originär elektronischen 
Daten umgegangen werden muss, 


« wie das IKS Interne Kontrollsystem beschaffen sein muss, 
« welche Anforderungen an die Sicherung und Bereitstellung von 
elektronisch gespeicherten kaufmännischen Informationen 
Compliance (6203) bestehen, 
a EUS e dass eine Verfahrensdokumentation zu erstellen und zu pflegen 
ist, 
e etc. 
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GoBS Grundsätze ordnungsgemäßer 
DV-gestützter Buchführungssysteme 


Die GoBS sind daher von grundlegenderer 
Bedeutung für das Thema Archivierung als die 
GDPdU. 

Die GDPdU regelt nur den Datenzugriff und die 
Datenträgerüberlassung, die GoBS enthalten 
dagegen die Vorgaben zur ordnungsgemäßen 
Aufbewahrung. 

Die GoBS sind in der GDPdU als maßgebliches 
Dokument referenziert. 
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Elektronische Signatur 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 


PROJECT CONSULT 
nel 'sberatun: 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 

PROJECT CONSULT 
‚mehmensberatung 

Dr. Ulrich Kampffmeyer GmbH 

Breitenfelder Straße 17 

20251 He 

Wwww-project-consult-co 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PR NSULT 


lamburg 
www-project-consult-com 
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PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Signaturgesetz 
SigG 


Modellgesetz von 1997 
Grundlage: RLES Europäische Richtlinie für elektronische 
Signaturen 

« Elektronische Dokumente sind rechtskräftig und revisionssicher 

zu speichern. Umsetzung durch alle Mitgliedsstaaten 

8 11 I: Anbieterhaftung bei Verletzung der Anforderungen 
nach SigG oder SigV oder Versagen der Produkte für 
qualifizierte elektronische Signaturen oder sonstige 
elektronische Sicherheitseinrichtungen 
8 11 Il: Haftung entfällt nur dann, wenn der Anbieter beweisen 
kann, dass er nicht schuldhaft gehandelt hat. Haftung für 
Leistungen von Subunternehmern 
8 11 Ill: Möglichkeit einer Haftungseinschränkung 


Mindestdeckungsvorsorge von 250.000€. Haftung für 
Vermögensschäden durch fehlerhafte Zertifizierung 


SigG Signaturgesetz 


Die Grundlage des aktuellen Signaturgesetzes ist die RLES 
Europäische Richtlinie für elektronische Signaturen. In 2004 
ist eine Vereinheitlichung der technischen Standards geplant. 
Es gibt drei Formen mit unterschiedlicher Qualität der 
elektronischen Signatur: 

« Einfache elektronische Signaturen 

« Fortgeschrittene elektronische Signaturen 

e Qualifizierte elektronische Signaturen 
In Deutschland gilt im offiziellen Rechtsverkehr die 
qualifizierte elektronische Signatur, die zu dem eine 
Anbieterakkreditierung aufweisen muss. 
Elektronisch signierte Dokumente existieren rechtskräftig nur 
in elektronischer Form und sind daher elektronisch sicher zu 
speichern. 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PRO ULT 
er 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 





Signaturverordnung 
SigV 


Seit Oktober 2001 

Qualifizierte Signaturen 

Registrierung vs. Akkreditierung: Freiwilligkeit eingeschränkt 
Um Ausführungen im Hinblick auf die elektronische 
Archivierung ergänzt: Aufbewahrung zwischen 5 und 30 
Jahren nach Unwirksamwerden eines Zertifikats 

8 12 Abs. 2 und § 16 Abs. 6: Die Regulierungsbehörde führt 
einen Katalog mit geeigneten Sicherheitsmaßnahmen für 
Zertifizierungsstellen. Beachtung der Zertifizierungsstellen für 
Sicherheitskonzepte und die eingesetzte technische 
Komponenten 

Übergreifende Neusignierung veralteter Daten: Neue 
Datenorganisation 


SigÄndG (1) 


Gesetzentwurf zur Änderung des Signaturgesetzes 
(Drs. 15/3417, 15/4172) 

Am 12.11. 2004 in 2./3. Lesung beschlossen 

Soll der Behebung von Rechtsfragen dienen, die 
bei der Anwendung des Signaturgesetzes 
aufgetreten sind 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PRO ULT 
er 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 


SigÄndG (2) 


Die wesentlichsten Änderungen des Gesetzes sind: 


die Anpassung der Definition der „fortgeschrittenen 
Signatur“ an den EG-Richtlinientext 


die Klarstellung, dass die Verpflichtung zur Erteilung 
eines Pseudonyms vertraglich ausgeschlossen werden 
kann 


die Klarstellung, dass für die Unterrichtung nach 
8 6 SigG die Textform ausreicht 


die Klarstellung, dass der Katalog der im Gesetz 
geregelten Sperrgründe vertraglich erweitert werden kann 
die Anpassung der Regelung zur Aufdeckung von 
Pseudonymen an die Erfahrungen im Gesetzesvollzug 


SigÄndG (3) 





Zusätzlich wurden die Voraussetzungen für eine 
zügige Beantragung und Ausgabe von 
Signaturkarten mit qualifizierten elektronischen 
Signaturen im elektronischen Verfahren geschaffen 


Mit In-Kraft-Treten des Gesetzes können die im 
Wirtschaftsleben bereits seit langem eingeführten 
und bewährten Verfahrensprozesse, z. B. bei der 
Registrierung und Ausgabe von EC-, Bankkunden- 
oder Versicherungskarten, auch für die Ausgabe 
von Signaturkarten mit qualifiziertenelektronischen 
Zertifikaten genutzt werden 
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=||- Elektronisch signierte Dokumente 


Durch die Verwendung der elektronischen Signatur 
entsteht aus einer Datei ein Dokument das einem 
manuell unterzeichneten Papierdokument im 
Prinzip gleichwertig ist. 

Die elektronische Signatur sichert vorrangig die 
Unverändertheit der Nachricht und die Authentizität 
des Unterzeichers. 
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Elektronische Signatur 
Ziele 


Berufsrechtlich: 

e Verschwiegenheitsgrundsatz 

e Hohe Anforderungen an Vertraulichkeit 
« Verschlüsselung 

Berufsständisch 


Herkunftsnachweis (Authentizität) 
Unverfälschtheit und Vollständigkeit (Integrität) 
Rechtsverbindlichkeit 


« Elektronische Signatur 
Eindeutige Identifizierung 
eo. Legitimationsprüfung 
= « Elektronische Zertifikate 
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Elektronische Signatur 
Rechtssituation 


Papierwelt: 


e Willenserklärung und Unterschrift (Körperlicher 
Gegenstand) 


e Weitere Angaben z.B. Angaben nach GmbHG 
e Traditionelle national gesetzliche Lösung 
Elektronische Welt: 
Textform vs. elektronische Form 
Willenserklärung in elektronischer Form und 
qualifizierte elektronische Signatur (keine Urkunde 
aber Augenscheinsbeweis) 
Übergangsphase gesetzlicher Regelungen 
Harmonisierung europäischer und internationaler 
Vorgaben 


Elektronische Signatur 
Elektronische Zertifikate 


Papierwelt: 
Personalausweis 
Reisepass 
Passfoto 
Körperliche Merkmale 
Einwohnermeldeamt 
Elektronische Welt: 
SmartCard 
Zertifizierte Schlüssel 
zen Vertrauenswürdige Dritte 
Dr Urnen Kemptmeyer Trusted Third Party, Trustcenter 
nane e Zertifizierungsstelle 
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=||- Elektronische Signatur 


Eine elektronische Signatur entspricht... 


„Daten in elektronischer Form, die anderen 
elektronischen Daten beigefügt oder logisch mit 
ihnen verknüpft sind und die zur Authentifizierung 
dienen“ 


§2 SigG 


Compliance (S203) 


www-project-consult-cor 
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Elektronische Signatur 
e Elektr. Signatur: 


« einfache gescannte Unterschriften 

« Email-Footer 

« in Anwendungen wie Lotus Notes integrierte Verfahren 

« Public Key-Verfahren ohne Authentizitätsprüfung, z.B. „PGP“ 


e Fortgeschrittene elektr. Signatur 
« Gemäß RleS (Europäische Richtlinie) gehören zu den 
"fortgeschrittenen elektronischen Signaturen" alle Verfahren, die 
die technischen Voraussetzungen erfüllen und von einem 
angemeldeten Trustcenter zertifiziert werden 
« Bestätigen die Authentizität des Absenders 


e Fortgeschrittene elektr. Signatur besonderer 
Qualität 


e Die qualifizierte elektronische Signatur entspricht den 
rechtlichen Anforderungen der fortgeschrittenen Signatur und 
ee verlangt darüber hinausgehend ein gültiges Zertifikat sowie die 
Signaturerzeugung mit einer sicheren Signaturerstellungseinheit 
Sie entspricht weitgehend den Anforderungen des deutschen 
Signaturgesetzes. „Rechtssichere“ Signaturen 


Dr. Ulrich Kampfimeyer 
PROJECT CONSULT 
Unternehmensberalung 
Dr. Ulrich Kampffmeyer GmbH 
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Qualifizierte elektronische 
Signaturen 


Personenbezogene 


Signaturen Zeitstempel 


WER & WAS WAS & WANN 


Beweis der Echtheit 

von Zeit und Daten 

z.B. rechtssichere 
Archivierung 


Identifikation von 
einzelnen Anwendern 
oder Gruppen 


Elektronische Signatur 
Akkreditierte qualifizierte elek. Signatur 


Bereitstellung der PKI durch einen Trustcenter, der 
sich dem Verfahren der freiwilligen Akkreditierung 
unterzogen hat. 

Zertifikatanbieter weisen vor Aufnahme des 
Betriebs die Einhaltung der Vorgaben des 
Gesetzes und der SigV nach 

Durch die Akkreditierung als Gütezeichen wird der 
Nachweis der umfassend geprüften Sicherheit 
erbracht. 


Compliance (S203) 


Dr. Ulrich Kampfime, 
Pi 
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Elektronische Signatur 
Gesetzliche Entwicklungen 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PRO ULT 
er 


Europäische Signaturrichtlinie 19.01.2000 


Novelliertes Signaturgesetz 22.05.2001, löst Version 
vom 01.08.1997 ab 


Elektronische Form Neuer §126a BGB, Beweisregel 
§292a ZPO 


Elektronische Form im öffentlichen Recht Neuer §3a 
VerwVerfG 


Artikelgesetz Geplant VerwVerfG, AO, FGO 


Vorsteuerabzug aus elektronischen Rechnungen 
StÄndG 2001: §14 Abs.4 UStG 


Sozialgesetzgebung 


Elektronische Signatur 
Deutsches Signatur Gesetz (SigG) 


Compliance (S203) 
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Prinzipielle Übereinstimmung mit der qualifizierten 
elektronischen Signatur 


Auswirkungen des geänderten SigG: 

e Freiwillige Akkreditierung für Trustcenter. Keine Vorab- 
Genehmigung für den Betrieb durch die 
Regulierungsbehörde 
Einordnung der rechtlichen Relevanz für definierte 
Geschäftsvorgänge (Änderungen im HGB und BGB) 
Protokollierung der Zertifikaterstellung 
Eindeutige Haftungsregelungen des Trustcenters 
In der Schwebe sind derzeit Überlegungen, ob das 
Trustcenter die abgeschlossenen Transaktionen 
zwischen den Kunden als neutrale dritte Stelle 
archivieren und bei Rechtsstreitigkeiten vorlegen muss 
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=||- Elektronische Signatur 
Funktionsweise / Absender 











Oo y Í 
Dokument Inhalt 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 

PROJECT CONSULT 
ratung 

Dr. Ulrich Kampfimeyer GmbH 
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Elektronische Signatur 
Funktionsweise / Absender 


AB15Gf7889436 > Signatur ==> 


Prüfsumme 


Elektr. Versand 


Compliance (S203) 


Dr. Ulrich Kampfimeyer 
PR NSULT 


lamburg 
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=> AB15Gf7889436 


Prüfsumme 





privater Schlüssel 
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=||- Elektronische Signatur 
Funktionsweise / Empfänger 


Entschlüsselung der Prüfsumme 
Vom Trustcenter: 
e Öffentlicher Schlüssel 














« Zertifikat (Authentizität) 





— | : AB15Gf7889436 
` Prüfsumme 








AB15Gf7889436 
Prüfsumme 


PROJECT CONSULT f eecococoooooeoooooooo 


Urtermehmensveratuno Integrität 
Inhalt 


— 


Compliance (S203) 
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Elektronische Signatur 
Probleme der Archivierung 


Zeitlich begrenzte Gültigkeit 
Speicherung 
« Zusammenhang zwischen Dokument und Zertifikat 
Persönliche Signatur nicht für automatische 
Dokumenterstellung in Massenverfahren geeignet 
Mehrfach-Signaturen, z.B.: 
« Mitzeichnung gleichberechtigter Unterzeichner 
« Unterzeichnung Mitarbeiter und Vorgesetzter in vorgegebener 
Reihenfolge 
Abruf elektronisch signierter Dokumente aus einem Archiv führt 
automatisch zur Erzeugung einer Anzeigekopie 
Formatprobleme des Dokumentinhaltes, die nicht mehr 
angezeigt werden können (Konvertierung führt zum Verlust der 
Compliance (S203) Signatur) 
BE URS ame Referenzierung elektronisch signierter Dokumente zu Index- 
Datenbank, gespeicherten Zertifikaten und Journalen bei 
Reorganisation und Migration 
usw. 
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=||- Elektronische Signatur 
Integration 


Zeichnungsvarianten 


Dokument Dokument 


] Signatur Sachbearbeiter 1 
Signatur Schröder Signatur Sachbearbeiter 2 


einfache Signatur Gleichberechtigte Signatur 














Dokument Dokument 


"o a 
el Signatur Sachbearbeiter 1 
Compliance (8203) Signatur Sachbearbeiter Signatur Sachbearbeiter 2 








Signatur Abteilungsleiter Signatur Bereichsleiter 


Hierarchische Signatur Gemischte Signatur 


www-project-consult-cor 
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Elektronische Signatur 
Integration 


Elektronisch signierte Dokumente müssen 
entsprechend ihrer Aufbewahrungsfristen nach Jahren 
in ihrem Kontext widerspruchsfrei dargestellt werden 
können ! 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
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=||- Elektronisch signieren beim Output? 











DFÜ (elektronisch signiert) 
Datenbank / Druckauf- E-Mail 
Anwendung bereitung 
Brief 
F Fax 
Liste 
ä Datensatz 
er DFÜ-Kopie 
oder 
Signature- Archiv- 
—— 
Server Server 


f Archiv 





















































Smart Card 


Compliance (8203) Wert der Signatu r? 


Dr. Ulrich Kampffmeyer 
een Keine persönliche Unterschrift entsprechend Signaturgesetz 
me (SigG) 

ee 
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Elektronisch signieren beim Scannen? 











Scanner Pc |—| er KO 
= r Archiv 


Signature- 
Server 





























Smart-Card —> 











Wert der Signatur? 
Salae e Nur Bestätigung, dass vollständig und lesbar erfasst wurde 


Dr. Ulrich Kampffmeyer 
PR NSULT 


e Keine Beziehung zum Absender / Nutzer der Nachricht 


lamburg 
www-project-consult-com 
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Compliance (S203) 


Dr. Ulrich Kampffmeyer 





Elektronische Signatur 
& Kryptographie in den USA 


Die USA galten lange Zeit als die Vorreiter in Sachen 
Kryptografie 

Trotz des jahrelangen Schutzes ihrer Algorithmen wurde das 
Public Key-Verfahren kaum vorangetrieben 

Die PKI-Lösungen werden insgesamt als unzureichend gelöst 
bewertet 

Aus diesem Grund wird den biometrischen Verfahren der 
Vorzug gegeben 

Diese gewährleisten allerdings nur Sicherheit im Bereich der 
Autorisierung und nicht bei der Authentifzierung und 
Datenintegrität 

Damit verfolgen die USA primär den Weg der „Einfachen 
Signatur“. Ein Wandel ist nun allerdings festzustellen 

In Standardprodukte integrierte Software aus den USA kann 
alle europäischen und nationalen Bemühungen obsolet 
machen 


Elektronische Signatur 
SmartCards 


In Deutschland steht die Umsetzung erst am 
Anfang 

Unzureichende Kryptoprozessoren und hohe 
Sicherheitsanforderungen gestalten die 
Verarbeitung auf der Karte schwierig 

Erste Ideen in Verbindung mit der Geldkarte 
Beispiel Finnland: Kombination mit 
Personalausweis 
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Elektronische Signatur & GDPdU 


Elektronische Rechnung nur mit qualifizierter 
Signatur 

Elektronische Rechnung ohne Signatur berechtigt 
nicht zum Vorsteuerabzug 

Die elektronische Rechnung ist das Original. 
Ausdrucke sind nur Kopien 


Aktueller Stand der Diskussion um die 
GDPdU 


e Grundfragen 
e Vorgehensmodelle 
e SAP DART und vergleichbare Lösungen 


Compliance (5203) 
Dr. Ulrich Kampffmeyer 


PROJECT CONSULT 
nel sberatung 





© PROJECT CONSULT 2005 
107 


© PROJECT CONSULT 2005 
108 


Dokumenten-Technologien: Lösungen, aktuelle Trends 
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 


20251 Hamburg 
www-project-consult-cor 

© PROJECT CONSULT 2005 
215 


w-project-consult-com 
© PROJECT CONSULT 2005 
216 





GDPdU 


Was heißt GDPdU ? 

„Grundsätze zum Datenzugriff und zur Prüfbarkeit 
digitaler Unterlagen“ 

e Umfeld 


e Buchhaltungsdaten 


« Sonstige steuerrechtlich relevante Informationen und 
Dokumente 


e Gültigkeit 

« Brief vom BMF 16.07.2001 

e Umzusetzen ab 01.01.2002 

e Übergangsregelungen abgelaufen 
e Herkunft 

« Steuerreform (StSenkG) 

e HGB AO 


Wichtige Aussagen der GDPdU 


Datenzugriff 


Prüfungsgegenstand sind wie bisher nur die 

aufbewahrungspflichtigen Unterlagen 

Recht auf direkten Zugriff auf kaufmännische Systeme mit 

Recherchemöglichkeit 

Drei additive Formen des Zugriffs: 

Z1 die eigenständige Recherche beim Steuerpflichtigen mit 
Unterstützung durch das Personal des Steuerpflichtigen 
(Unmittelbarer Zugriff) 

Zurverfügungstellung von Auswertungen durch den 
Steuerpflichtigen entsprechend den Vorgaben des Prüfers 
(Mittelbarer Zugriff) 


die Mitnahme von Medien mit allen Daten und Dokumenten 
für die Prüfung im Finanzamt (Datenträgerüberlassung) 
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Wichtige Aussagen der GDPdU 


Prüfbarkeit digitaler Unterlagen 


Elektronische Unterlagen sind: 
« Elektronische Abrechnungen 


e Die qualifizierte elektronische Signatur ist Bestandteil der 
elektronischen Abrechnung 


Elektronisch signierte Dokumente 


Sonstige aufbewahrungspflichtige Unterlagen i.S.d. 8147 Abs. 
1AO, die digitalisiert sind und nicht in Papierform übermittelt 
werden 


Aufbewahrungsfristen 
Speicherung von Zertifikaten 
Protokollierung 
Konvertierung 
Verarbeitung 
Indexänderungen 
Transformationen 


Wichtige Aussagen der GDPdU 





Archivierung digitaler Unterlagen 


Maschinelle Auswertbarkeit 
COM-Verfilmung nicht mehr ausreichend 


PDF, TIFF und andere Image-Formate für 
ursprünglich auswertbare Dateien nicht zulässig 


Nur einmal beschreibbare digitale Speicher 
(WORM-Verfahren: write once read many) 
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Aktueller Stand bei den Beteiligten 


Finanzverwaltung 
« IDEA-Schulung nur schleppend 
« Technische Ausstattung vielfach unzureichend 


e Schwerfällige Abstimmungsprozesse zwischen Bund und 
Ländern 


Unternehmen 

« Groß: Tragweite meist erkannt, arbeiten an Lösungen 

e Mittel: Betroffenheit erkannt 

« Klein: weitgehend noch keine Maßnahmen ergriffen 
Steuerberater 

e Kaum Auseinandersetzung mit der Thematik/Problematik 
IT-Anbieter 

« Anfangseuphorie bei Archivsystemherstellern 

e Kaufmännische Software allmählich GDPdU-konform 

Annie cam e Nachfrage nach Lösungen nimmt langsam zu 


nsult-cor 
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Compliance (S203) 


Hindernisse 


Offene Fragen, die nur der Gesetzgeber oder die 
Finanzverwaltung beantworten kann 

e Welche Bedeutung haben die zentralen Begriffe? 

« Was sind steuerlich relevante Daten? 

e Was sind von der Finanzverwaltung akzeptierte 

Lösungen? 
Zeitliche Diskrepanz zwischen Aktion (des Steuer- 
pflichtigen) und Reaktion (der Finanzverwaltung) 
Handlungsverweigerung 
Bewusstsein der neuen Qualität der Außenprüfung 
ee Kommunikation zwischen Steuer- und IT-Experten 


Prozessbetrachtung / Qualitätsmanagement 


Aw-project-consult-com 
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Ort der Außenprüfung 


Grundsätzlich Geschäftsräume 


Mangels geeigneter Geschäftsräume Wohnraum 
oder an Amtsstelle 


Auf Antrag beim Steuerberater 


Beim Datenzugriff überlagern sich 
Ermessenserwägungen hinsichtlich Prüfungsort mit 
denen über Art des Datenzugriffs 


Bei Z1 und Z2 wird die Prüfung wegen des hohen 
Aufwandes im Regelfall beim Steuerberater 
stattfinden. 


Compliance (5203) 
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GDPdU 


Steuerrelevante Daten: 


e Im Prinzip alle Daten mit Informationen, die 
relevant sind für Kosten und Ertrag 


Problemfelder: 


« Technische Abgrenzung 

« Daten außerhalb FiBu, z.B. Anlagenbuchhaltung, 
Lohndaten, Zeiterfassung, aus Registrierkassen, Mail- 
Dokumente, Konstuktionsdaten 


Daten aus verschiedenen Speicherorten 


Compliance (S203) 
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=||- Warum überhaupt Z1 und Z2? 


e Ursprüngliche Absicht: Systemprüfung 


e Finanzverwaltung fehlt bei größeren Datenvolumina 
IT-Ausstattung für Z3 


Sanktionsmöglichkeiten 


Schätzung, wenn Verletzung der Mitwirkungspflicht 
Schätzung, falls Besteuerungsgrundlagen nicht 
ermittelt werden können 
Zwangsmittel bis zu 25.000,- Euro 
Strafbarkeit des Abschlussprüfers 

« Testat umfasst auch die Einhaltung der GoBS 


« Fehlende maschinelle Auswertbarkeit führt zur 
Einschränkung des Testats 


Compliance (8203) 
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=||- Sanktionen nach RVO vom 11.8.2003 


Gewinnabgrenzungsaufzeichnungsverordnung 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PRO LT 


e Werden die Aufzeichnungen nicht vorgelegt oder sind sie 
im Wesentlichen unverwertbar, wird ein Zuschlag von (...) 


e Bei verspäteter Vorlage beträgt der Zuschlag bis zu 1 Mio. 


Euro (...) 


GDPdU 
Offene Fragen und Problemfelder 


Compliance (S203) 


Was sind steuerrelevante Daten („Verknüpfungen“, 
Stammdaten)? 


Welche Zugriffrechte benötigt ein Prüfer 


Archivierungsformat eingehender elektronischer 
Dokumente 


Handhabung redundanter Daten 
Vorgehen bei einer Software- oder Systemmigration 


Speicherung von komprimierter Information möglich? 
(siehe Diskussion um SAP DART) 


Keine Richtlinien für Datenextraktionsverfahren der 
Hersteller 


Wie sieht eine zumutbare Mitwirkung aus? 
Wahrung der Verhältnismäßigkeit 

Haftung bei Systemabstürzen? 

Geeignete Medien für Langzeitarchivierung? 
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=||- GDPdU 


Steuerrelevante Daten: 


e Im Prinzip alle Daten mit Informationen, die 
relevant sind für Kosten und Ertrag 


Problemfelder: 
« Technische Abgrenzung 


e Daten außerhalb FiBu, z.B. Anlagenbuchhaltung, 
Lohndaten, Zeiterfassung, aus Registrierkassen, Mail- 
Dokumente, Konstuktionsdaten 


Daten aus verschiedenen Speicherorten 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 
PRO ULT 
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GDPdU 


Speicherung der Daten: 
Basis: Nicht verdichtete Daten, i.d.R. zunächst aus 
Finanzsystemen, dann Belegprüfung 
Möglichkeit eines GDPdU-konformen Datenexports 
zwingend 
Bei Archivierung von Daten müssen die GoBS erfüllt 
sein 
Bei der Sicherung der Daten sind nicht 
wiederbeschreibbare Medien nicht zwingend 


Problemfelder: 
Compliance (5203) e Lebensdauer der Software-Systeme 


Dr. Ulrich Kampffmeyer 


« Updates, Upgrades, Systemwechsel 
e Sicherstellung der Langzeitverfügbarkeit 
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Steuerlich relevante Daten — 
formaler Definitionsversuch 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
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Daten, die als numerischer Wert in den Algorithmus zur 
Berechnung des zu entrichtenden Steuerbetrages eingehen 
(z.B. Gehalt bei der Lohnbuchhaltung), 


Daten, die als Bedingung in den Algorithmus zur Berechnung 
des zu entrichtenden Steuerbetrages eingehen (z.B. 
Familienstand bei der Lohnbuchhaltung), 


Daten zur Prüfung eines Sachverhaltes, der Einfluss auf den zu 
entrichtenden Steuerbetrag hat, wobei die Prüfung dieses 
Sachverhaltes ohne diese Daten nicht möglich wäre. 

Daten, die zu einem Datensatz mit u.a. steuerlich relevanten 
Datenelementen gehören, der aufgrund von Vorschriften als 
Einheit zu betrachten ist. 


Steuerrelevante Daten 
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Originär elektronische Unterlagen 
Maschinell auswertbare Daten 
Nicht maschinell auswertbare Belege 
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Sonstige Unterlagen 


Auftrags- und Bestellunterlagen 
Aus- und Einfuhrunterlagen 
Bewertungsunterlagen 
Preisverzeichnisse 
Mahnvorgänge 
Kontoauszüge 
Kosten- und Leistungsrechnung 
Kalkulationen über Konzernverrechnungspreise 
Registrierkassenstreifen 

ce Lohnberechnungsunterlagen 
Statistisches Material 


20251 Hamburg 
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Belege 


e Konventionelle Papierbelege 


e Elektronische Belege: 
automatische Datenerfassung, 
programminterne Routinen, 


Austausch maschinell lesbarer Datenträger oder 
Datenfernübertragung 
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Aufbewahrungspflicht 


Bücher und Aufzeichnungen 
Inventare 
Jahresabschlüsse 


Arbeitsanweisungen und Organisationsunterlagen 
« Insb. EDV Dokumentation gem. GoBS 


Handels- und Geschäftsbriefe 
Buchungsbelege 
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Umfang des Datenzugriffs 


e Welche Systeme können sonst noch steuerlich 
relevante Daten enthalten? 

e Material- und Warenwirtschaftssysteme 

e Arbeitszeiterfassung 

« Electronic Banking 

« E-Business-Anwendungen 
Intranet 
Controllingsysteme 
Managementinformationssysteme 
Konzernrechnungslegung 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PR NSULT 


lamburg 
www-project-consult-com 

© PROJECT CONSULT 2005 
234 





234 


© PROJECT CONSULT 2005 
117 


— i Dokumenten-Technologien: Lösungen, aktuelle Trends 
n n PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Datenverarbeitungssystem im 
Sinne der GDPdU 


Hauptsystem 
Vorgelagertes System 
Nebensystem 
Archivsystem 


Universelles Auswertungsprogramm für 
steuerrelevante Daten 
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Erfassung und Archivierung steuer- 
relevanter Daten 





Vorgelagerte Systeme 











Hauptsystem Neben - 














ERP systeme 





H Periodengerechte Übergabe 
ı fertig strukturierter Daten 
ı und Strukturinformationen 


Validierung 


! Übergabe Daten 


ı und Strukturinformationen 
Y 











Archivsystem 





Taia Protokollierung 
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Speichersystem 
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Systeme mit steuerlich relevanten Daten 


Buchhaltungssysteme 
e Finanzbuchhaltung, Anlagenbuchhaltung, 
Lohnbuchhaltung 
Der Buchhaltung vorgelagerte Systeme 
e Faktura, Kassenbuch, Reisekostenabrechnung, 
Zeiterfassung, Electronic Banking, Registrierkassen, ... 
Weitere Systeme (Inhalte spezifisch) 
« \Warenwirtschaft/Materialwirtschaft, 
Kostenrechnung/Leistungsrechnung, Webshop, ... 
Systeme mit übergreifenden Funktionalitäten 
« ERP-System, ... 
Office-Systeme (Inhalte unspezifisch) 
« Email, Textverarbeitung, Tabellenkalkulation, Datenbank, 


Conen] Datenadministrationssysteme (Inhalte unspezifisch) 
a « Datenbank, Data-Warehouse, Archivierungssystem, 
Dr UnehKampfmeyr Dokumenten-Management-System, Webserver, ... 


20251 Hamburg 
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Vorgehensmodell 
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=||- Vorgehensmodell (1) 


e Analyse 
« Prüfung der Anwendbarkeit der GDPdU 
e Aufnahme der IT-Infrastruktur 
« Bestimmung der steuerlich relevanten Daten und 

Dokumente 

e Konzeption 
e Aufbewahrungsstrategie 
e Fachkonzept 
« DV-Konzept 
e Verfahrensdokumentation 

Compliance (5208) 
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Analyse 


e Welche steuerlich relevanten Daten gibt es im 
Unternehmen? 
e Hier ist der Steuerberater gefordert! 


e Die Beratung ist Vorbehaltsaufgabe der steuerberatenden 
Berufe. 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PR NSULT 


lamburg 
www-project-consult-com 

© PROJECT CONSULT 2005 
240 





240 


© PROJECT CONSULT 2005 
120 


© PROJECT CONSULT 2005 
121 





Dokumenten-Technologien: Lösungen, aktuelle Trends 
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


=||- Qualifikationsstrategien 


e Inklusivstrategie 
« Benennung der auf jeden Fall steuerlich relevanten Daten 
e  Exklusivstrategie 


« Ausschluss der mit Sicherheit nicht steuerlich relevanten 
Daten 
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Retrograde Methode 


Ausgehend von Bilanz und GuV bis zu den 
Transaktionstabellen in den Nebenbüchern sowie 
deren Stammdatentabellen 
Beispiel 

Forderungskonto -> Offene Posten -> 


Rechnung -> Warenausgang 


Aw-project-consult-com 
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=||- Progressive Methode 


Ausgehend von den Geschäftsprozessen werden 
die verwendeten Tabellen auf ihre steuerliche 
Relevanz überprüft 
Beispiel 

Auftragserfassung -> Auftragsbestätigung 

-> Lieferung -> Rechnung -> Offener Posten 

-> Forderung 
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Vorgehensmodell (2) 


e Implementierung 
« Anpassung der Geschäftsprozesse 


« Einrichtung von Berechtigungskonzept und Zugriffsprofil 
(Z1 und Z2) 


« Datenträgerüberlassung (Z3) 


e Organisation der Außenprüfung 
e Unternehmensrichtlinie für den Prüfungsablauf 
e Aufzeichnung der Prüfungstätigkeiten 
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=||- Implementierung 


e Einrichtung von differenzierten Berechtigungen 
« Betriebsprüfung 
e Lohnsteuer-Außenprüfung 
e Umsatzsteuer-Sonderprüfung 
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Archive und die GDPdU 
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=| = Architektur von elektronischen 
Archivsystemen 





Archivsystem 
Management 


Datenbank 








Archivsystem 
Speicher 
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| = Architektur von Archivsystemen 
Traditionelle Referenz-Datenbank 






































„Referenz- 
Datenbank“ 
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=| = Architektur von elektronischen 
Archivsystemen 





Client Client 





Client 


[Erfassen > ERP |E-Maill| Office 


Anwendungen 


Archivsystem | Datenbank 
RE, Management 


h Kampffmeyer 






























































Archivsystem 
Speicher 











=| = Architektur von elektronischen Archivsystemen 


Was heißt dies für die GDPdU ? 











Client Zaz > Erlaubt Zugriff nach Z1 und Z2 


Kaufmännische => 


Erstellt Daten 
Anwendung für Z3 Überlassung 














Übergibt an das Archiv 


Erhält auswertbare 
auswertbare Daten 


Daten zurück 


Index 
Datenbank 





Archivsystem 
A Management 








Archivsystem 
Speicher 
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| = Architektur von elektronischen Archivsystemen 


Was heißt dies für die GDPdU ? 


Erlaubt Zugriff 
(= ZZ) nach Z1 und Z2 
Erstellt Daten 


für Z3 
Überlassung Kaufmännische 


Anwendung 


Se Are Kaufmännische Anwendung 
p ; 9 kann Daten nicht verarbeiten 
auf dem Archivsystem ED 


: Index 
Archivsystem Datenbank 


Management 
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Bereitstellung steuerrelevanter Daten 
zur Auswertung 











23 Hauptsystem 
ERP 

Client IDEA Client | | Filesystem || ine i ae 

Archiv Z1,Z3 Z3-Dateien Z1,Z2 


; Daten und Daten und Struktur- 
Ergebnis- 

age e nis Strukturinformationen informationen „ERP- 

„IDEA-Format“ 












































Archivsystem 





Protokollierung 








Speichersystem 
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=||- Lösung zur Datenträgerüberlassung 


e Export 
« Export aus Produktivsystem 
« Export aus Archivsystem 
e Formate 
« Beschreibungsstandard Smart X 
e Andere GDPdU-konforme Formate 
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DART - Datenauslagerung 


Datenarchivierung mit ADK genügt „eingeschränkt“ den 
GDPdU, da die archivierten Daten nur begrenzt 
(Prüfungsszenarien: Z1, Z2) auswertbar sind. 

DART („Data Retention Tool“) exportiert SAP-Daten in flache 
Dateien. Inzwischen wird aber auch das XML-Format für IDEA 
unterstützt 

Erlaubt Auswertungsmöglichkeiten für Finanzbehörden und 
WP's mit 3rd-Party Tools wie z. B. WinIDEA 

Erzeugte Dateien können entweder auf einem Dateisystem 
oder über ArchiveLink in einem zertifizierten Content Server 
abgelegt werden 

ADK und DART werden für die gleichen Daten verwendet, um 
diese zu archivieren und zusätzlich der Finanzbehörde zur 
Verfügung stellen zu können („doppelte Archivierung“) 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
PR NSULT 


lamburg 
www-project-consult-com 

© PROJECT CONSULT 2005 
254 


254 


© PROJECT CONSULT 2005 
128 


Dokumenten-Technologien: Lösungen, aktuelle Trends 
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Compliance (5203) 
Dr. Ulrich Kampffmeyer 


PROJECT CONSULT 
Unternehmensberatung 


www-project-consult-com 
© PROJECT CONSULT 2005 
255 


255 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 


20251 Hamburg 
www-project-consult-com 

© PROJECT CONSULT 2005 
256 


256 





Revisionssicherheit 


Revisionssicherheit ist eine Verfahrenseigenschaft 
und keine Produkteigenschaft 


Keine Zertifizierung von Produkten 


Revisionssicherheit ist nur für ein bestimmtes 
Unternehmen für eine bestimmte Zeit feststellbar 





10 Thesen zum Thema 
GDPdU und elektronische Archivierung 


Die GDPdU betrifft vorrangig Daten in kaufmännischer 
Software 
Die GDPdU betrifft in erster Linie Daten in kaufmännischer Software wie z.B. 
Finanzbuchhaltungen und hat nur indirekt mit elektronischer Archivierung zu tun. 
Erst wenn Daten ausgelagert werden sollen, stellt die elektronische Archivierung 
eine Option dar. 
Der GOBS-konforme Betrieb der Buchhaltungssoftware erfüllt 
fast alle Anforderungen der GDPdU 
Bezüglich der Revisionssicherheit gibt es durch die GDPdU kaum neue 
Anforderungen, die nicht bereits durch die bisherige GOBS geregelt wären. 
Die GDPdU enthalten keine neue Definition für 
Revisionssicherheit 


Die geänderten Paragraphen der Abgabenordnung setzen bezüglich der 
Revisionssicherheit der von Unternehmen zu verwendenden DV-Systeme wie 
bisher auf die bereits in den GOBS von 1995 dargestellten Anforderungen. 


Neu sind nur Aufbewahrung von und Zugriff auf 
steuerrelevante Daten 


Die Dauer der Aufbewahrunggsfrist für originär elektronische Daten (anstelle von 
Papierausdrucken) hat sich verlängert und die Zugriffsmethoden auf die Daten 
sind in den GDPdU neu geregelt. 
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10 Thesen zum Thema 
GDPdU und elektronische Archivierung 


5. Revisionssicherheit definiert sich nicht allein durch das 


Speichermedium 


. Das gesamte Verfahren der Erfassung, Bearbeitung, Speicherung und 
Reproduktion von steuerrechtlich und handelsrechtlich relevanten Daten mit 
allen organisatorischen, Betriebs- und technischen Faktoren muss 
revisionssicher sein. 


Elektronische Archive nur für die GDPdU sind unwirtschaftlich 


. Der Einsatz elektronischer Archivsysteme nur zur Erfüllung der rechtlichen 
Anforderungen ist unwirtschaftlich. Elektronische Archive müssen als 
universeller Wissensspeicher für alle Informationen des Unternehmens nutzbar 
sein. 


Die GDPdU schreibt keine besonderen Medien für die 


Aufbewahrung vor 
. Die Daten der normalen kaufmännischen Anwendungen können wie bisher auf 
denjenigen Speichern aufbewahrt werden, die nach GOBS zulässig sind. Hierzu 
zählen Diskette, Magnetband, Magnetplatte, digitale optische Medien und 
andere elektronische Speicher. 


10 Thesen zum Thema 
GDPdU und elektronische Archivierung 


Strukturierte Daten sind durch wahlfreien Zugriff auswertbar, 


unstrukturierte Dokumente nicht 
. Der Begriff der maschinellen Auswertbarkeit bezieht sich in erster Linie auf 
kaufmännische Daten, die in einer Struktur vorliegen, die den direkten Zugriff auf 
beliebige Daten erlaubt. Die meisten Dokumente sind in diesem Sinne nicht 
maschinell auswertbar, da sie naturgemäß schwach oder unstrukturiert sind. 


Die Verantwortung für die technische Auslegung liegt beim 
Steuerpflichtigen 


. Die GDPdU regeln, wie eine Prüfung durchgeführt wird und wie Daten 
bereitgestellt werden müssen. Sie enthält keine Vorgaben, was für Systeme 
beim Steuerpflichtigen vorhanden und wie diese ausgelegt sein müssen. 


Eine Verfahrensdokumentation nach GoBS ist wichtig 
. In einer Verfahrensdokumentation nach GoBS wird nachvollziehbar beschrieben, 
wie alle kaufmännisch relevanten Informationen entstehen, geordnet 
gespeichert, indiziert, geschützt, wiedergefunden und verlustfrei reproduziert 
werden können. 
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IDEA & TaxAudit 


Compliance (5203) 
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Prüfungssoftware IDEA 
Allgemeines (1) 


Analysetool für Betriebsprüfungen 

Vor über 17 Jahren vom Kanadischen 
Rechnungshof entwickelt 

BMF hat 14.000 Lizenzen erworben 

Deutscher Vertrieb über die Firma Audicon 

(hat den neuen XML-basierten Beschreibungsstandard entwickelt) 
Datenbestände des zu prüfenden Unternehmens 
werden auf Datenträger kopiert 

Der Prüfer kann somit direkt vom (lokalen) 
Datenträger aus arbeiten 


Compliance (S203) 





© PROJECT CONSULT 2005 
130 


— i Dokumenten-Technologien: Lösungen, aktuelle Trends 
n n PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Prüfungssoftware IDEA 
Allgemeines (2) 


Nach wie vor lässt die Vielzahl und unterschiedliche 
Ausgestaltung und Kombination selbst marktgängiger 
Buchhaltungs-und Archivierungssysteme keine Aussagen der 
Finanzverwaltung zur Konformität der verwendeten oder 
geplanten Hard-und Software mit den „GDPdU“ und den 
„GoBS“ zu. 


Vor dem Hintergrund der vom Softwarehersteller frei 
wählbaren Beschreibung der Datenstrukturen gilt dies 
gleichermaßen für eine nach dem Beschreibungsstandard für 
die Datenträgerüberlassung konzipierte „GDPdU“- 
Schnittstelle. 


Über die Firma Audicon (http://www.audicon.net) kann der 
Genere] aktuelle „Beschreibungsstandard für die 
a E Datenträgerüberlassung“angefordert werden 
N 
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1" Prüfungssoftware IDEA 
Zugelassene Formate 


« Sofern die zur Auswertung notwendigen Strukturinformationen 
in maschinell verwertbarer Form vorliegen, können mit IDEA 
prinzipiell folgende Formate verarbeitet werden: 

e ASCII feste Länge und ASCII Delimited 
(einschließlich kommagetrennter Werte) 
EBCDIC feste Länge und EBCDIC Dateien mit variabler Länge 
Excel und Access (auch ältere Versionen) 
dBASE 
Lotus 123 
Druckdateien 
Dateien von SAP/AIS 
Konvertieren von AS/400 Datensatzbeschreibungen (FDF- 
Dateien erstellt von PC Support/400) in RDE- 
Datensatzbeschreibungen 


e Dateien im IDEA-Format (mit XML-Beschreibung) 
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Prüfungssoftware IDEA 
Zugelassene DV-Systeme 


Die Installation der Prüfsoftware erfolgt 
ausschließlich auf den Laptops der Außenprüfer 
und Arbeitsplatzrechnern der Finanzverwaltung 
Auf DV-Systemen des Steuerpflichtigen, eines 
beauftragten Dritten oder seines steuerlichen 
Beraters darf IDEA durch die Prüfer des BMF aus 
lizenzrechtlichen Gründen keinesfalls installiert 
werden 

Der Prüfer hat keine Möglichkeit, sich mit Hilfe 
seiner Prüfsoftware ohne Kenntnis und Möglichkeit 
der Einflussnahme durch den Steuerpflichtigen 
Zugriff auf nicht steuerrelevante Daten zu 
verschaffen 


IDEA und TaxAudit 


„Beschreibungsstandard“ BMF und Audicon: 


Information zum Beschreibungsstandard für die 
Datenträgerüberlastung 

Die aktuelle technische Beschreibung kann bei der 
Fa. Audicon kostenlos heruntergeladen werden 

Sie beinhaltet insbesondere die technische 
Organisation des Beschreibungsstandards und eine 
Erläuterung 
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IDEA und TaxAudit 


e Die Prüfer der Finanzverwaltung nutzen SmartX 
von Audicon zum Einlesen und Verstehen der CD- 


ROM nach dem Beschreibungsstandard 


IDEA und TaxAudit 


CD-ROM nach 
Beschreibungsstandard 


Problem: 

Was und wie 
soll digital 
geprüft werden? 
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-|F IDEA und TaxAudit 


Problem: 

Wie verbinde ich 
die Prüfungs- 
makros mit den 
importierten 
Daten? 


CD-ROM nach 
Beschreibungsstandard 


=||- IDEA und TaxAudit 
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Information Management Compliance als 
Bestandteil von Corporate Governance 


Compliance (5203) 
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Information Management Compliance 
(IMC) 


IMC hat nicht nur mit Technik zu tun, sie muss sich im 
gesamten Unternehmen, im Umgang mit Information und in 
den Prozessen einer Organisation widerspiegeln 

Sie hat mit Verantwortung von Personen und deren Tätigkeit, 
Nachvollziehbarkeit und Qualitätsstandards zu tun 


Information Management Compliance ist eine Abbildung all 


dieser Komponenten in elektronischen Systemen 


Diese beinhalten nicht nur Komponenten wie Records 
Management und Archivierung, sondern Datensicherung und 
Datensicherheit, Zugriffsschutz, Kontrollsysteme und andere 
Komponenten 
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=la Vier Komponenten für Information 
Management Compliance (1) 


1. Information Management Policy 
Grundregeln und Verwaltensweisen für den 
Umgang mit Prozessen und Informationen, die sich 
in der „Corporate Governance niederschlagen. 
Dies schließt die das Bewusstmachen, die 
Zuordnung der Verantwortung, und die 
Verankerung der Policy im Management der 
Organisation ein. Das Management trägt hier nicht 
nur die eigene Verantwortung für die Einhaltung 
der Regularien, sondern auch für Umsetzung im 
Unternehmen mit Vorbildfunktion 


zZ Vier Komponenten für Information 
Management Compliance (2) 


2. Delegation 
Zuordnung von Verantwortlichkeiten und 
entsprechende Ausbildung auf den 
nachgeordneten Ebenen, die allen Betroffenen die 
Bedeutung von Compliance-Regeln deutlich 
macht. Dies schlägt sich auch in den 
Arbeitsprozessen, Arbeitsplatzbeschreibungen, 
Verträgen und Arbeitsanweisungen nieder Auf den 
verschiedenen Ebenen einer Organisation muss 
abhängig von Aufgaben und Zuständigkeiten der 
en Mitarbeiter eine Durchgängigkeit erzeugt werden 
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„ll Vier Komponenten für Information 
Management Compliance (3) 


3. Nachhaltung 
Die Einhaltung der Regeln muss regelmäßig 
überprüft werden. Hierzu gehören z.B. 
Qualitätssicherungsprogramme ebenso wie Audits. 
Dabei ist auf eine ständige Verbesserung der 
Prozesse und auf die Nachführung der 
Dokumentation zu den durchgeführten 
Maßnahmen Wert zu legen 


zZ Vier Komponenten für Information 
Management Compliance (4) 


4. Sichere Systeme 
Die IT-Systeme müssen den Anforderungen mit 
ihrer Funktionalität, Sicherheit und Verfügbarkeit 
genügen und die Nachvollziehbarkeit unterstützen. 
Compliance beschränkt sich hier nicht nur auf die 
Anwendungsfunktionalität und das 
Dokumentenmanagement sondern schließt den 
gesamten Betrieb der Lösung ein 
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=||- Insellösungen vermeiden 


e Compliance-relevante Informationen sind nur eine 
Untermenge aller Informationen im Unternehmen 


Daher keine isolierte Teillösungen für 
Einzelprobleme beschaffen (z.B. E-Mail- 
Archivierung), da diese schwer integrierbare Inseln 
bilden und das Problem noch verschärfen können 


Ziel sollte sein, eine einheitliche ECM Enterprice 
Content Management Infrastruktur aufzubauen, die 
auch die Compliance-Anforderungen mit erfüllt 


Compliance (5203) 
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Grundanforderungen, Zertifizierung, Codes of 
Best Practice und Information Compliance 
Policies 


Compliance (5203) 


Dr. Ulrich Kampffmeyer 
PROJECT CONSULT 
Unternehmensberatung 
Dr. U jeyer GmbH 





© PROJECT CONSULT 2005 
138 


— i Dokumenten-Technologien: Lösungen, aktuelle Trends 
n n PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Grundsätzliche Kriterien für Compliance 


Authentizität 
Vollständigkeit 
Nachvollziehbarkeit 
Zugriffssicherheit 
Geordnetheit 
Integrität 
Auffindbarkeit 
Reproduzierbarkeit 
Unverändertheit 
Richtigkeit 
Prüfbarkeit 
Portabilität 
Vertrauenswürdigkeit 


Compliance (S203) 


Zertifizierung 


Was wird zertifiziert? 


e Produkte 
z.B.Domea, DoD 5015.2 


e Lösungen und ihr Betrieb vor Ort 
z.B. GOBS, FDA 


Wer zertifiziert? 

e KBSt: Domea 

e TUVIT: Verfahrensdokumentation 
a Wirtschaftsprüfer: GoBS 


Sicherheit von Systemen 
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Die Rolle von Normen und Standards 


Normen und Standards geben konkret prüfbare, 
einheitliche Kriterien vor 


Der Anwender von Lösungen braucht keine eigene 
Definition entwickeln und kann sich die Einhaltung 
von Normen und Standards zusichern lassen 


Normen und Standards gibt es jedoch im 
Compliance-Umfeld zu wenig 


Die ISO 15489 „Records Management“ ist nur 
bedingt als Maßstab für Compliance- 
Anforderungen nutzbar 
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Codes of Best Practice 


Organisationen, Verbände, Branchenorganisationen und 
Herstellervereinigungen geben häufig „ Codes of Best 
Practice“ heraus 

Codes of Best Practice haben nur Empfehlungscharakter 
Sie können jedoch als Leitlinien vom Anwender verwendet 
werden, um Lösungen zu prüfen und sicherzustellen, dass 


man nach gegenwärtigen Stand der Technik alles 
berücksichtigt hat 
Beispiele: 

EU DLM Leitlinie zur elektronischen Archivierung 

VOI Grundsätze der elektronischen Archivierung 

VOI Grundsätze der Verfahrensdokumentation nach GOBS 


Compliance (8203) 
Dr. Urich Kampffmeyer BSI Grundschutzhandbuch 
; n TüVIT PK-DML 
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10 Merksätze (1) 


Compliance-Themen gehören auf die Entscheiderebene, die 
die Verantwortung für die Einhaltung und Umsetzung der 
Anforderungen haben 


Compliance-Anforderungen sind ein Bestandteil jedweder 
Corporate Governance Strategie 


Unternehmen benötigen eine Richtlinie zum Umgang mit 
Informationen, eine Information Policy, die die Compliance- 
Anforderungen und die Lösung zur Umsetzung der 
Anforderungen beinhaltet 


Compliance muss durchgängig im Unternehmen 
implementiert werden um wirksam zu sein 

Die Erfüllung von Compliance-Anforderungen ist kein 
einmaliges Projekt, sondern ein kontinuierlicher Prozess 





10 Merksätze (2) 


Die Erfüllung von Compliance-Anforderungen muss 
regelmäßig nach definierten Verfahren überprüft werden 


Information Management Compliance betrifft nicht nur 
Software und Systeme sondern die Prozesse im 
Unternehmen, die Organisation und den Umgang mit den 
Systemen 


Compliance-Anforderungen betreffen nicht nur elektronische 
Archive sondern alle Systemkomponenten in denen 
aufbewahrungspflichtige Daten, Informationen und 
Dokumente erzeugt, genutzt und verwaltet werden 


Die Erfüllung von Compliance-Anforderungen muss auch für 
den eigenen Nutzen im Unternehmen genutzt werden, um 
mehr Transparenz und Sicherheit zu schaffen und um das 
Unternehmen auf das Informationszeitalter einzustellen. 


. Man darf sich nicht durch den Begriff Compliance 


verunsichern oder gar verängstigen lassen, sondern muss 
zunächst im Unternehmen prüfen, welche Regelungen für 
welchen Anwendungsfall überhaupt relevant sind 
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Sonderfall E-Mailarchivierung 





Ein- und Ausgänge aus Dokumentensicht 


Fremdbestimmt 


DFÜ 

E-Mail 

- Attachment 
- Signatur 
Fax 
Posteingang 
- Scan Akte 


- Scan Dokumente 
Internet-Formular 
„no-Scans“ 


E-Mail 

- Attachment 
Scan 

Office (Word) 
Cold 

Daten 
Vordrucke 


DRT-Lösung 


Vorgangs- 
bearbeitung 


Aus- Historisches 
sonderung Archiv 





Eigennutzung 


Intranet 
Sicherheitskopien 
Statistik 

Protokoll 
Vorgänge 
Dokumente 
E-Mail 

Druck 


DFÜ 
Dokumente 
Vorgänge 
Vordrucke 
E-Mail 
Webseite 
Prüfung 


Dokumenten-Technologien: Lösungen, aktuelle Trends 
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Archivierung von E-Mails 


Rechtsregeln für die E-Mail-Archivierung 


Archivierungspflicht für empfangene und 
abgesandte Handelsbriefe, § 257 HGB. 
„Grundsätze zum Datenzugriff und zur Prüfbarkeit 
digitaler Unterlagen“ 


„Grundsätze ordnungsmäßiger DV-gestützter 
Buchführungssysteme“ 


Kontrolle von E-Mails (1) 


Ausschließlich dienstliche Nutzung der E-Mail- 
Kommunikation erlaubt: 


Persönlichkeitsschutz des Arbeitnehmers 
Begleitumstände kontrollierbar 


Zugriff auf Inhalte ausnahmsweise, wie bei 
Verdacht von Straftaten und Verrat von 
Betriebsgeheimnissen. 
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Kontrolle von E-Mails (2) 


Private Nutzung der E-Mail-Kommunikation erlaubt: 
Arbeitgeber als Anbieter von TK-Diensten. 
Es gilt Fernmeldegeheimnis nach TKG. 


Kenntnis vom Inhalt und angewählter Adresse nur 
für die Organisation der TK-Dienste erlaubt. 


Filterung von E-Mails (1) 


SPAM-Mail adressiert an Mitarbeiter: 
Strafrechtliche Aspekte 

Verletzung des Fernmeldegeheimnisses, 
8 206 Abs. 2 NR. 2 StGB 
Datenunterdrückung, § 303a StGB 
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Filterung von E-Mails (2) 


Private Nutzung erlaubt: 


e Verletzung des Fernmeldegeheimnisses 
und Datenunterdrückung 


Private Nutzung nicht erlaubt: 
e Datenunterdrückung 


Notstand: drohende Funktionsunfähigkeit 
Lösung: Betriebsvereinbarung 


Aktive Archivierung von E-mails 


Weitere Gründe 

e Reduzierung von Suchzeiten aufgrund der 
integrierten Suchfunktionalitäten im Archivsystem. 
Sicherung und Bereitstellung von in E-Mails 
vorhandenen geschäftskritischen Informationen in 
nachgelagerten Systemen. 


Compliance (S203) 


Dr. Ulrich Kampffmeyer 
Pi 





© PROJECT CONSULT 2005 
145 


— i Dokumenten-Technologien: Lösungen, aktuelle Trends 
n n PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Anforderungen an eine 
E-Mail-Archivierung (1) 


Langzeitarchivierung aller in einer Mail enthaltenen 
Informationen, einschließlich Formatierungen, 
Rechteinformationen und Anhänge. 

Hohe Skalierbarkeit in Bezug auf Anzahl zu 
archivierender Mail und Datenvolumina. 
Wiederherstellen der archivierten Mails ohne 
Informationsverluste 

Wahlweise vollständiges oder teilweises Löschen 
von bereits archivierten E-Mails aus dem führenden 
Mailsystem. (z.B. Löschen der Anhänge und/oder 
des Mailtextes) 


Anforderungen an eine 
E-Mail-Archivierung (2) 


Komprimierung der archivierten Dokumente 


Archivierung von verschlüsselten 
Maildokumenten 

Konvertierung der Anhänge und/oder des 
Mailtextes in Bild- bzw. Richtext Formate 


Single Instance Archivierung. 


(Attachments von identischen Mails an mehrere Nutzer 
werden nur einmal archiviert.) 


Statistische Auswertungsmöglichkeiten aller 
abrechnungsrelevanten Aktionen 


Compliance (S203) 
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Vollständige Archivierung (1) 


Vorteile: 


Konformität mit den 
rechtlichen Erfordernissen 
Möglichkeit der 
Prozessintegration 

Kaum Einfluss auf die 
Arbeitsweise der Nutzer 
Volle Integration in das 
bestehende IT 
Management des 
Unternehmers 





Nachteile: 


Umfangreichster und 
aufwendigster 
Lösungsansatz 

Meist kostenintensivste 
Lösung 

Oft komplizierte 
Verhandlungen mit 
Betriebsrat und 
Datenschutzbeauftragten 
der Unternehmen 


Vollständige Archivierung (2) 


Vorteile: 


Wesentliche Reduzierung 
der Mailboxgrößen. 
Daraus resultierender 
Performancegewinn. 
Reduzierung der 
Hardwareanforderungen. 





Nachteile: 


Rechtliche Anforderungen 
werden nicht erfüllt. 

Nach Crash des 
Mailsystems ist eine 
Zuordnung der archivierten 


Anhänge zu Mails fast 
unmöglich. 

Offline Retrieval der 
Anhänge nicht möglich. 
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Vollständige Archivierung (3) 


Vorteile: 


Filterung unerwünschter 
Mails. 


Reduzierung des 
Speicherplatzbedarfs. 


Daraus resultierender 
Performancegewinn. 


Reduzierung der 


Hardwareanforderungen. 


Nachteile: 


Bei ungenauer Festlegung 
der Selektionskriterien 
werden rechtliche 
Anforderungen nicht erfüllt. 


Verfahrensdokumentation nach GoBS 


e Zusammenhänge zwischen GDPdU und GoBS 
Aufbau und Inhalt einer Verfahrensdokumentation 





— i Dokumenten-Technologien: Lösungen, aktuelle Trends 
n n PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH 


Verfahrensdokumentation nach GoBS 


Eine Verfahrensdokumentation ist für alle 
elektronischen Archivsysteme, in denen Daten und 
Dokumente, die unter das HGB (und die GDPdU) 
fallen, Pflicht 

Die Erstellung und Fortschreibung der 
Verfahrensdokumentation liegt in der 
Verantwortung des Betreibers, im Sinne der 
GDPdU ist dies jedoch das steuerpflichtige 
Unternehmen 

Die Verfahrensdokumentation muß vollständig, 
nachvollziehbar und prüfbar sein 


Die Verfahrensdokumentation „lebt“ 


Verfahrensdokumentation nach GoBS 
Umfang und Struktur 


Umfang und Aufbau einer Verfahrensdokumentation 

sind nicht vorgeschrieben 

Die GoBS legen nur den Mindestinhalt fest, der auf 

die speziellen Eigenschaften eines Dokumenten- 

Management- und elektronischen Archivsystems 

anzupassen ist 

Eine Reihe von Anbietern und Systemintegratoren 

verfügen über Musterverfahrensdokumentationen, 

die die individuelle Anpassung und Ergänzung 

erleichtern 

Der VOI hat die „Grundsätze der Verfahrens- 
Inn dokumentation“ als Richtlinie herausgegeben 
German Diese Richtlinie ist Grundlage für das PK-DML- 

Zertifizierungsverfahren von VOI/TūVIT 
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=||- Verfahrensdokumentation 
Struktur (1) 


Verfahrensdokumentation 
« Organisatorische Teile des Betreibers 
« Technik einschließlich Subsysteme Dritter 
« Software - Grundmodule des Herstellers 


individuelle Anpassungen das 
Systemintegrators 


Betriebsvoraussetzungen für den Anwender 
Sicherheit, Wiederherstellung und Migration 
Qualitätssicherung 











Abnahme und Testdokumentation 
« Testmaterial und Szenarien 
« Abnahmendokument 


Compliance (5203) 





Dr. Ulrich Kampffmeyer 
PROJECT CONSULT 
en Zertifikat der Ordnungsmäßigkeit 
299 














Verfahrensdokumentation 
Struktur (2) 

















Verzeichnis für Versionierung 




















Verfahrensbeschreibung 
-i 





Anhänge mit veränderlichen Teilen 




















Verzeichnis der Anhänge 





























Verträge 
y 

















Wartung y 
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=||- Aufbau einer Verfahrensdokumentation 


Compliance (S203) 








Verfahrensdokumentation 











Verfahrensbeschreibung 











Anhänge 

















Anlagen 














Test- und Abnahmedokumentation 











Anhänge 














Anlagen 














Prüfberichte und Bescheinigungen 








Verfahrensdokumentation 
GoBS 


Eine Verfahrensdokumentation ist für alle 
elektronischen Archivsysteme, in denen Daten und 
Dokumente, die unter das HGB (und die GDPdU) 
fallen, Pflicht 


Die Erstellung und Fortschreibung der 
Verfahrensdokumentation liegt in der 
Verantwortung des Betreibers, im Sinne der 
GDPdU ist dies jedoch das steuerpflichtige 
Unternehmen 


Die Verfahrensdokumentation muss vollständig, 
nachvollziehbar und prüfbar sein 
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=||- Verfahrensdokumentation 
Grundlagen 


„Code of Practice“ 


Grundsätze der Verfahrensdokumentation 


Richtlinie für Verfahrensbeschreibungen des 


VOI Verband Organisations- und 
Informationssysteme e.V., 
1999 


Verfahrensdokumentation 
Bedeutung 


Kontinuierliche Fortschreibung aller Informationen, 
die für einen sicheren und geordneten Betrieb sind 


Technische, organisatorische, administrative und 
nutzungsrelevante Informationen die die Integrität, 
Vollständigkeit, Unveränderbarkeit, Sicherheit, 
Fehlerfreiheit, etc. dokumentieren 


Verfahrensdokumentationen sind im Prinzip für alle 
Informationssysteme erforderlich, die 

« Steuerlich / kaufmännische Belege speichern 

e Qualitätsdaten managen 

e Sicherheitsinformationen beinhalten 

« Daten nach BDSG oder TDDSG verarbeiten 
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Verfahrensdokumentation 
Umfang und Struktur 


Umfang und Aufbau einer Verfahrensdokumentation 
sind nicht vorgeschrieben 

Die GoBS legen nur den Mindestinhalt fest, der auf 
die speziellen Eigenschaften eines Dokumenten- 
Management- und elektronischen Archivsystems 
anzupassen ist 

Eine Reihe von Anbietern und Systemintegratoren 
verfügen über Musterverfahrensdokumentationen, 
die die individuelle Anpassung und Ergänzung 
erleichtern 

Der VOI hat die „Grundsätze der Verfahrens- 
dokumentation“ als Richtlinie herausgegeben 
Diese Richtlinie ist Grundlage für das PK-DML- 
Zertifizierungsverfahren von VOI/TüVIT 


Verfahrensdokumentation 
Grundlagen in Deutschland 


HGB / AO: Handelsgesetzbuch / Abgabenordnung 
GoBS: Grundsätze ordnungsgemäßer DV- 
gestützter Buchführungssysteme 
IDW PS 880: Erteilung und Verwendung von 
Softwarebescheinigungen (Institut der 
Wirtschaftsprüfer) 
„Code of Practice“: Grundsätze der 
Verfahrensdokumentation (Fassung vom 14.12.1995) 
„Code of Practice“: Grundsätze elektronischer 

N Archivierung (Fassung vom September 1997) 

ae TüVIT PK-DML: Prüfkriterien für 

ner Dokumentenmanagement-Lösungen 
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Verfahrensdokumentation (1) 


Beschreibung des Einsatzgebietes 
« Allgemeines Verfahren aus fachlicher und technischer Sicht. 
Beschreibung der sachlogischen Systemlösung 


« fachliche Aufgabe aus dem Blickwinkel des Betreibers, Inhalt 
und Nutzung des Systems vor dem Hintergrund der rechtlichen 
Anforderungen, Umsetzung der Prüfungsanforderungen der 
GDPdU. 


Technische Systemlösung und Migration 


« Softwarekomponenten, Hardware für Server und Clienten, 
Netzwerk, Speichersysteme, Dokumentationen sowie Konzept 
zur Langzeitverfügbarkeit der Daten und Dokumente. 

IT-Sicherheit 


Ener) « Gesamtkonzeption, Datenflusskontrolle, Datensicherheit und 
Be er -integrität, Datenschutz, Protokollierung. 
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Verfahrensdokumentation (2) 


Technischer Betrieb 


« Notwendige Maßnahmen und deren Einhaltung zur 
Gewährleistung des ordnungsgemäßen Betriebes. 


Prozesse 
« Erfassung, Bearbeitung, Recherche, Reproduktion. 


Mitarbeiterqualifikation 
« Rollen, erforderliche Kenntnisse, Zuordnung, Nachweis. 


Test 


« Alle Systemabnahmen werden durch Tests und 
Freigabeprozesse nachgewiesen. 


Wartung 


e Durchzuführende Prüfungs- und präventive 
Wartungsmaßnahmen. 
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Bestandteile einer 
Verfahrensbeschreibung 


. Allgemeines Verfahren . Archivsystemkomponenten 

. Organisation . Drucken 

. Rechtsgrundlagen . Ausfallsicherheit des Systems 
. Datenschutz . Formate 

. Vorgangsdefinition . Qualität 

. Scannen . Betrieb 


. Transport im System . Wartung 


oO N O VW A OO N > 


. Datenbank . Migration 
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Verfahrensdokumentation 
Checklisten über Bestandteile (1) 


e Allgemeine Beschreibung des Einsatzgebietes 
« Einsatzgebiet der Lösung 
« Beschreibung der allgemeinen Organisation 
e Beschreibung der Lösung 
e Beschreibung der sachlogischen Lösung 
e Umsetzung der Anforderungen nach GDPdU 
e Programmtechnischer Ablauf der Lösung 
« Identität der Beschreibungen mit dem eingesetzten 
Programm 
e Systembeschreibung 
e Netzinfrastruktur 
Sompianse{e2u) « Spezielle Hardwarekomponenten 
PROJECT CONSULT e Standard-Softwarekomponenten 
e Individuelle Programmteile der Lösung 
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Verfahrensdokumentation 
Checklisten über Bestandteile (2) 


Beschreibung des Internen Kontrollsystem (IKS) 


Internes Kontrollsystem 
Datensicherheit 

Daten- und Zugriffsschutz 
Datenintegrität 


Beschreibung der relevanten Prozesse (1) 


Scannen 

Erfassung von originär digitalen Dokumenten 
Transport im System 

Indizierung und Datenbank 

Archivierung 

Visualisierung und Reproduktion 
Protokollierung 

Sonstige Bestandteile und Anlagen 


Verzeichnis der gültigen technischen Dokumentationen, 
Handbücher etc. 


Betriebsvoraussetzungen 


Verfahrensdokumentation 
Checklisten über Bestandteile (3) 


Beschreibung der relevanten Prozesse (2) 





Betreiberdokumentationen 
Anbieterdokumentationen 
Vertragsrelevante Dokumentationen 
Arbeitsanweisungen 

Migration 

Aktuell eingestellte Parameter, 
Benutzerberechtigungen und 


Dokumentenklassen mit Aufbewahrungsregeln 
und Aufbewahrungsfristen 


Test- und Abnahmeprotokolle 
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Software für die Verwaltung von 
Verfahrensdokumentationen 
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GoBScape 


e Merkmale 


« Globale und lokale Suchfunktionen: Relational und 
Volltext 


Kooperative Erstellung für Buchhaltung, Controlling, IT 
Konsequente Benutzerführung 

Schnelle Orientierung für den Betriebsprüfer 

Jederzeit für alle Beteiligten zu erreichen 

Export-, Import- und Archivfunktion 

Schrittweise laufende Ergänzung 

Arbeit jederzeit unterbrechbar 
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=||- GoBScape 
Aufbau (1) 


e Zur Darstellung einer unternehmensspezifischen 
Verfahrensdokumentation werden folgende Ansätze 
verfolgt: 

« Zerlegung der GoBS in Dokumentations-Objekte 
(Attribute und Parameter) 


Zusammensetzung von Komplex-Objekten aus einfachen 
Objekten über dynamisch versorgte Auswahllisten 


Schwache Datenbindung zwischen Objekten durch reine 
Textbezüge 


Funktionstrennung für IT, Buchhaltung, Organisation und 
Controlling 


Modellierung des Geschäftsvorfalls als Komplex-Objekt 
Graz) Orientierung an der TÜVit-Gliederung 


Unternehmensspezifische generische Definition von 
Methoden 
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Aufbau (2) 





Geschäftsvorfall: Anlagen-Zugang 


ändern Löschen Zurück 


Art fachlich-intern 
Aktion Buchung Zugang 
mit System ånlagenbuchhaltung 


Beschreibung Zugang in Anlagen-Stammdaten 





Akteur/Rolle Art Regel Geschäftsobjekt Art 
+’ Alle-SERVER-SAP + AFA-Satz # K2 
+ Auftragsannahme Rolle + prüfedichselbst + produktepreise 


+ Auftragsannahme + \ertragsablage +» Saldo-Anlagen 


[z0 X =] | 323 5 | E ’ saldogurken Sachkonto 


+’ saldogurken 


Por 
Sompiience (S293) Neuer Akteur Neue Regel E =] Ss 
nn 
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Neues Objekt 
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Records Management 
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Wert von Dokumenten 


Der Wert und Charakter eines Dokumentes ergibt 
sich in der Regel erst durch inhaltliche, 
prozessabhängige, zeitliche oder fachliche 
Zusammenhänge 
Im englischsprachigen Raum spricht man anstelle 
„Dokumenten“ von „Records“ 
Ein Record ist entsprechend der ISO 15489-11 eine 
„Information, die erzeugt, empfangen und bewahrt 
wird, um als Nachweis einer Organisation oder 
Person bei rechtlichen Verpflichtungen oder zum 
Be Nachvollzug einer geschäftlichen Handlung zu 
dienen“ 
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Was ist ein Record? 


Unter einem Record wird ein beliebiger Content- 
Typ verstanden, der sich auf die Geschäftstätigkeit 
oder die Transaktion eines Unternehmens bezieht 


physikalische Form oder andere Merkmale spielen 
dabei keine Rolle 


Beispiele sind E-Mails, Verträge, 
Geschäftsvereinbarungen, Kontoübersichten, 
Berichte sowie Video- und Audiodateien 
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Records Management 


Abbildung von Aktenplänen und anderen strukturierten 
Verzeichnissen zur geordneten Ablage von Informationen 


Thesaurus- oder kontrollierter Wortschatz-gestützte 
eindeutige Indizierung von Informationen 


Verwaltung von Aufbewahrungsfristen (Retention Schedules) 
und Vernichtungsfristen (Deletion Schedules) 


Schutz von Informationen entsprechend ihren Eigenschaften, 
z.T. bis auf einzelnen Inhaltskomponenten in Dokumenten 


Nutzung international, branchenspezifisch oder zumindest 
unternehmensweit standardisierter Meta-Daten zur 
eindeutigen Identifizierung und Beschreibung der 
gespeicherten Informationen 
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=||- Funktionen rund um 
Records Management 


a 
z 


Funktion Archiv 





Archivierung 





Importfunktion Aufzeichnungen 





Aufbereitung, Aktenorganisation 





Bearbeitung, Änderung 





Retention-Verwaltung 





Vernichtung 





Protokollierung 





Vollständigkeitskontrolle 























X| XIX] X] X| X| Xx] x | Xx 


Eskalation / Qualitätssicherung 
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ILM Information Lifecycle Management 


Neues „Schlagwort“ der Anbieter von Speicher- 
Technologien (Storage) 


Ergänzung von Speichersubsystemen mit Software 
zur Verwaltung des Lebenszyklus von Daten 


Hinterlegte „Policies“ (Regeln) steuern die 


Speicherung, Speicherorte und Aussonderung von 
Informationen 


Weiterentwicklung des HSM hierarchischen 
Speichermanagements in Richtung elektronische 
Archivierung, Dokumentenmanagement und 
Enterprise Content Management 


Betriebssystemnahe Infrastruktur 
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Records Management 
15015489 


ISO 15489 Records Management 

Relevant für die Schriftgutverwaltung im privaten 
und öffentlichen Sektor und für das Archivwesen 
Definition von Bedeutung, Funktion und Elementen 
von Schriftgutverwaltungssystemen 

Standard geht nicht wesentlich über Definitionen 
zum Thema hinaus 

Kleinster gemeinsamer Nenner der beteiligten 
Länder 


Department of Defense 
DoD 5015.2 


DoD 5015.2: Standard des Departement of 
Defense für Dokumentenmanagement 
Der Standard beschreibt die benötigten Funktionen 
e Informationsmanagement 
e Systemmanagement 
Verfolgt gleichen Ansatz wie DIN/ISO 15489 
„Records Management, geht jedoch weniger auf 
die funktionalen Beschreibungen ein 
Einhaltung der Standards für alle Hersteller 
e erforderlich, die für die Bundesverwaltung in den 
prater Seur” USA im militärischen und angrenzendem Bereich 
T anbieten wollen 
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OAIS 
ISO 14721 


OAIS = Reference Model for an Open Archival 
Information System 


2002: Blue Book der NASA/CCSDS (650.0-B-1) 
2003 als Standard ISO 14721 übernommen 

Vor allem gedacht für die Verarbeitung digitaler 
Informationen 

Logisch strukturiert und damit unabhängig von 
Implementierung 

Sowohl aus der Sicht der Funktionalität als auch 
des Informationsflusses darstellbar 


Records Management Metadaten 
ISO 23081 


Technische Spezifikation im Mai 2004 
veröffentlicht 

Auf dem Weg zum ISO Standardess 
Veröffentlichung im März 2005 geplant 
Gedacht als Anleitung zum Verstehen und 
Implementieren der Metadaten von ISO 
15489 


Framework zur Erstellung, Verwaltung, 
Ba Auswertung und Nutzung von RM 
Me Metadaten 
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Model Requirements 
MoReq 


MoReq: Model Requirements for the Management 
of Electronic Records 

Veröffentlicht von der Europäischen Kommission 
MoReq ist weniger ein Standard und kommt eher 
einer oberflächliche Guideline nah 

Steht für den Aufbau und Betrieb von Dokumenten- 
Management- und Archivsystemen 

Fokus liegt nunmehr auf der Behandlung 
elektronischer Dokumente, papierbasierte 
Dokumente sind inzwischen ein Randthema 
Richtet sich an öffentliche und private 
Einrichtungen 


=||- MoReq in der Umsetzung 


England 
Pro 2 
EU 6th framework 


Antrag auf Entwicklung von Zertifizierungs- 
kriterien 
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Freedom of information Act 
FOIA 


In vielen Staaten ist ein FOIA bereits vorhanden 


Er ist treibende Kraft für zahlreiche Projekte im 
öffentlichen Sektor, wo es um die Öffnung von 
Archiven für den Zugriff der Öffentlichkeit geht 


für Deutschland liegt ein Gesetzentwurf der 
Netzwerk Recherche e.V. vor 


Das Gesetzes bezweckt: 
Den freien Zugang zu den bei den öffentlichen Stellen 
des Bundes vorhandenen Informationen 
Die Verbreitung dieser Informationen zu gewährleisten 
Und die grundlegenden Voraussetzungen festzulegen, 
unter denen derartige Informationen zugänglich gemacht 
werden sollen 


ILM Information Lifecycle Management 


Neues „Schlagwort“ der Anbieter von Speicher- 
Technologien (Storage) 

Ergänzung von Speichersubsystemen mit Software 
zur Verwaltung des Lebenszyklus von Daten 
Hinterlegte „Policies“ (Regeln) steuern die 
Speicherung, Speicherorte und Aussonderung von 
Informationen 

Weiterentwicklung des HSM hierarchischen 
Speichermanagements in Richtung elektronische 
Archivierung, Dokumentenmanagement und 
Enterprise Content Management 
Betriebssystemnahe Infrastruktur 
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=||- Die Abhängigkeit von Information 


Die Abhängigkeit von der Verfügbarkeit und 
der Richtigkeit von elektronischer 
Information wächst ständig 


Unternehmen, Behörden und Gesellschaft 
sind von der Verfügbarkeit von Information 
inzwischen existentiell abhängig geworden 
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Vielen Dank für Ihre Aufmerksamkeit ! 


E-Mail: info@PROJECT-CONSULT.com 


WebSite, Newsletter, Informationen, Unterlagen zu diesem Vortrag ... 
Compliance (5203) http://www.PROJECT-CONSULT.com 
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Untemehmensberatunn Diskussionsforum 
meeue http://www .IT-Forum.org 
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